La Authentication methods policy in Microsoft Entra ID

La Authentication methods policy è la superficie di gestione moderna e unificata con cui, in Microsoft Entra ID, decidi quali metodi di autenticazione gli utenti possono registrare e usare, sia per la multi-factor authentication (MFA) sia per il Self-Service Password Reset (SSPR). Sostituisce le due superfici legacy — le impostazioni Multifactor authentication service settings (il portale “per-user MFA”) e la vecchia scheda Authentication methods di SSPR — riportando tutto sotto un unico punto di controllo, con targeting granulare per gruppo invece che solo a livello di intero tenant.

Struttura e targeting

Ogni metodo (Microsoft Authenticator, FIDO2 security key, Passkey, Windows Hello for Business, Certificate-based authentication, Temporary Access Pass, SMS, Voice call, Third-party OATH token, Email OTP) ha una pagina dedicata dove lo abiliti/disabiliti e ne scegli il target: All users oppure uno o più gruppi (di security, anche dinamici). Puoi anche escludere gruppi. Questo consente rollout progressivi — ad esempio abilitare le passkey solo a un gruppo pilota, o consentire SMS unicamente a un reparto che non può usare l’app.

Punto chiave d’architettura: molti metodi espongono opzioni fini. Per Microsoft Authenticator puoi imporre number matching e mostrare application name / geographic location (oggi comportamento predefinito), scegliere la modalità push vs passwordless phone sign-in, e controllare chi ne beneficia per gruppo.

Registration campaign

La registration campaign spinge in modo proattivo gli utenti che oggi usano metodi deboli (tipicamente SMS o chiamata vocale) a registrare Microsoft Authenticator durante un login riuscito, mostrando un prompt “nudge”. Si configura dentro la policy con targeting per gruppo e un numero di snooze consentiti. È lo strumento d’elezione quando lo scenario d’esame chiede: “come porto gli utenti verso metodi più forti senza forzare subito un reset di registrazione?”.

Self-Service Password Reset (SSPR)

SSPR permette agli utenti di reimpostare o sbloccare la propria password senza aprire ticket all’help desk. La configurazione vive in Entra ID > Password reset e prevede tre scelte principali:

  • Ambito: None, Selected (un gruppo) o All. In produzione si parte quasi sempre da un gruppo pilota.
  • Metodi consentiti per l’autenticazione al reset: mobile app notification/code (Authenticator), email, mobile phone (SMS), office phone, security questions.
  • Numero di metodi richiesti: minimo uno o due per completare il reset. La best practice (e la risposta d’esame tipica) è due metodi.

Combined registration

La combined registration è l’esperienza unificata di aka.ms/mysecurityinfo con cui l’utente registra una sola volta le informazioni di sicurezza usate sia da MFA sia da SSPR. Elimina la doppia registrazione del passato ed è oggi il comportamento standard: se lo scenario cita “gli utenti devono registrarsi separatamente per MFA e SSPR”, la correzione è abilitare/verificare la combined registration.

Password writeback per scenari ibridi

In un ambiente ibrido, dove l’authority delle password resta on-premises, l’utente che reimposta la password nel cloud deve vederla riscritta in Active Directory. Questo richiede password writeback, funzione erogata da Microsoft Entra Connect (o dal cloud sync agent) e da abilitare. Senza writeback, l’utente ibrido potrebbe cambiare password nel cloud ma non autenticarsi on-prem: incoerenza tipica delle domande. Il writeback è anche prerequisito per far funzionare self-service password change e lo sblocco account verso AD.

Entra Connect → Optional features → ☑ Password writeback
Password reset → On-premises integration → Write back passwords: Yes

Serve inoltre la licenza adeguata: SSPR con writeback richiede Entra ID P1 (o superiore); l’SSPR “cloud-only” è incluso nel tier gratuito.

Trappole tipiche d’esame

  • Scenario: hai ancora attivo il portale per-user MFA legacy e vuoi la superficie moderna → risposta: migra alla Authentication methods policy e completa la migration portando lo stato a Migration Complete (le impostazioni legacy diventano di sola lettura/ignorate).
  • Scenario: SSPR funziona per gli utenti cloud ma gli utenti sincronizzati non riescono a completare il reset → risposta: manca password writeback su Entra Connect (feature non abilitata o agente non configurato).
  • Scenario: vuoi consentire le passkey/SMS solo a un reparto, non a tutti → risposta: usa il targeting per gruppo del singolo metodo nella policy, non un’impostazione tenant-wide.
  • Scenario: gli utenti devono registrare separatamente le info per MFA e per SSPR → risposta: abilita/verifica la combined registration.
  • Scenario: molti utenti usano ancora SMS e vuoi spostarli su Authenticator senza forzarli subito → risposta: attiva la registration campaign (nudge), non disabilitare bruscamente l’SMS.