Configurare le impostazioni di autenticazione a più fattori di Microsoft Entra

Per personalizzare l'esperienza dell'utente finale per l'autenticazione a più fattori (MFA) di Microsoft Entra, puoi configurare le opzioni per le impostazioni, come le soglie di blocco dell'account o gli avvisi di illecito e le notifiche.

La tabella seguente descrive le impostazioni MFA di Microsoft Entra e le sottosezioni illustrano in modo più dettagliato ogni impostazione.

Blocco account (solo server MFA)

Per evitare tentativi ripetuti di autenticazione a più fattori durante un attacco, le impostazioni di blocco dell'account consentono di specificare il numero di tentativi non riusciti da consentire prima che l'account venga bloccato per un periodo di tempo. Le impostazioni di blocco dell'account vengono applicate solo quando viene immesso un codice PIN per il prompt MFA usando il server MFA locale.

Sono disponibili le impostazioni seguenti:

• Numero di negazioni MFA che attivano il blocco dell'account
• Minuti di attesa per la reimpostazione del contatore del blocco dell'account
• Minuti di attesa per lo sblocco automatico dell'account

Per configurare le impostazioni di blocco dell'account, completa questa procedura:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.

2. Passa a Protezione>Autenticazione a più fattori>Blocco account. Potrebbe essere necessario fare clic su Mostra altro per visualizzare l'Autenticazione a più fattori.

3. Immetti i valori per l'ambiente e quindi seleziona Salva.

   

Segnala attività sospette

Segnala attività sospetta sostituisce queste funzionalità legacy: Blocca/sblocca utenti, Avviso di illecito e Notifiche.

Quando viene ricevuta una richiesta MFA sconosciuta e sospetta, gli utenti possono segnalare il tentativo di illecito usando Microsoft Authenticator o il proprio telefono. Questi avvisi sono integrati con Microsoft Entra ID Protection per una copertura e una funzionalità più complete.

Gli utenti che segnalano una richiesta MFA come sospetta sono impostati su Rischio utente elevato. Gli amministratori possono usare criteri basati sul rischio per limitare l'accesso a questi utenti o abilitare la reimpostazione della password self-service (SSPR) per consentire agli utenti di risolvere i problemi autonomamente.

Se in precedenza hai usato la funzionalità di blocco automatico di Avviso di illecito e non disponi di una licenza Microsoft Entra ID P2 per i criteri basati sui rischi, puoi usare gli eventi di rilevamento dei rischi per identificare e disabilitare manualmente gli utenti interessati o configurare l'automazione usando i flussi di lavoro personalizzati con Microsoft Graph. Per altre informazioni sull'analisi e la correzione del rischio utente, vedere:

• Procedura: analizzare i rischi
• Procedura: correggere i rischi e sbloccare gli utenti

Per abilitare Segnala attività sospetta dalle Impostazioni dei criteri dei metodi di autenticazione:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.
2. Passare a Protezione>Metodi di autenticazione>Impostazioni.
3. Imposta Segnala attività sospetta su Abilitato. La funzionalità rimane disabilitata se si sceglie gestito da Microsoft. Per altre informazioni sui valori gestiti di Microsoft, vedi Protezione dei metodi di autenticazione in Microsoft Entra ID.
4. Seleziona Tutti gli utenti o un gruppo specifico.
5. Se si caricano anche messaggi di saluto personalizzati per il tenant, seleziona un codice per la creazione di report. Il codice per la creazione di report è il numero immesso dagli utenti nel telefono per segnalare attività sospette. Il codice per la creazione di report è applicabile solo se vengono caricati anche messaggi di saluto personalizzati da un amministratore dei criteri di autenticazione. In caso contrario, il codice predefinito è 0, indipendentemente da qualsiasi valore specificato nei criteri.
6. Fare clic su Salva.

Correzione del rischio per i tenant con licenza Microsoft Entra ID P1

Quando un utente segnala una richiesta MFA come sospetta, l'evento viene visualizzato nel report Accessi (come accesso rifiutato dall'utente), nei log di audit e nel report Rilevamento dei rischi.

È possibile anche eseguire query per rilevare i rischi e gli utenti contrassegnati come rischiosi usando Microsoft Graph.

Per la correzione manuale, gli amministratori o il supporto tecnico possono chiedere agli utenti di reimpostare la password usando la reimpostazione della password self-service (SSPR) o di farlo per loro conto. Per la correzione automatica, usa le API Microsoft Graph o usa PowerShell per creare uno script che modifica la password dell'utente, forza la reimpostazione della password self-service, revoca le sessioni di accesso o disabilita temporaneamente l'account utente.

Correzione del rischio per i tenant con licenza Microsoft Entra ID P2

I tenant con una licenza Microsoft Entra ID P2 possono usare i criteri di accesso condizionale basati sul rischio per correggere automaticamente i rischi utente, oltre alle opzioni della licenza Microsoft Entra ID P2.

Configura un criterio che esamina il rischio utente in Condizioni>Rischio utente. Cerca gli utenti con rischio = elevato per impedire loro di accedere o per chiedere loro di reimpostare la password.

Per altre informazioni, vedere Criteri di accesso condizionale basati sul rischio di accesso.

Segnala attività sospetta e avviso di illecito

Segnala attività sospetta e l'implementazione legacy dell'Avviso di illecito possono funzionare in parallelo. È possibile mantenere in atto la funzionalità Avviso di illecito a livello di tenant, mentre si inizia a usare Segnala attività sospetta con un gruppo di test mirato.

Se l'Avviso di illecito è abilitato con Blocco automatico e Segnala attività sospetta è abilitato, l'utente verrà aggiunto all'elenco degli elementi bloccati e considerato come ad alto rischio e nell'ambito di tutti gli altri criteri configurati. Questi utenti devono essere rimossi dall'elenco di blocchi e i rischi devono essere risolti per consentire loro di accedere con MFA.

Avviso di illecito

Segnala attività sospetta sostituisce l'Avviso di illecito grazie all'integrazione con Microsoft Entra ID Protection per la correzione basata sui rischi, per le funzionalità di creazione di reporting migliori e per l'amministrazione con privilegi minimi. La funzionalità Avviso di illecito verrà rimossa il 1° marzo 2025.

La funzionalità Avviso di illecito consente agli utenti di segnalare tentativi fraudolenti di accesso alle loro risorse. Quando viene ricevuta una richiesta MFA sconosciuta e sospetta, gli utenti possono segnalare il tentativo di illecito usando l'app Microsoft Authenticator o il proprio telefono. Sono disponibili le seguenti opzioni di configurazione dell'avviso di illecito:

• Bloccare automaticamente gli utenti che segnalano un illecito. Se un utente segnala un illecito, i tentativi di autenticazione a più fattori di Microsoft Entra per l'account utente vengono bloccati per 90 giorni o finché un amministratore non sblocca l'account. Un amministratore può verificare gli accessi usando il report sugli accessi ed eseguire le azioni necessarie per prevenire illeciti nel futuro. Un amministratore può quindi sbloccare l'account dell'utente.

• Codice per la segnalazione di illeciti durante il messaggio di saluto iniziale. Quando gli utenti ricevono una telefonata per eseguire l'autenticazione a più fattori, in genere premono # per confermare l'accesso. Per segnalare un illecito, l'utente immette un codice prima di premere #. Il codice predefinito è 0, ma è possibile personalizzarlo. Se il blocco automatico è abilitato, dopo che l'utente preme 0# per segnalare un illecito, deve premere 1 per confermare il blocco dell'account.

  Nota

  I messaggi vocali predefiniti di Microsoft invitano gli utenti a premere 0# per inviare un avviso di illecito. Se si vuole usare un codice diverso da 0, registrare e caricare messaggi vocali personalizzati con istruzioni adeguate per l'utente.

Per abilitare e configurare gli avvisi di illecito, completa i passaggi seguenti:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.
2. Passa a Protezione>Autenticazione a più fattori>Avviso di illecito.
3. Imposta Consenti agli utenti di inviare avvisi di illeciti su On.
4. Configura l'impostazione Blocca automaticamente gli utenti che segnalano frodi o il Codice per segnalare le frodi durante il messaggio di saluto iniziale in base alle esigenze.
5. Seleziona Salva.

Bloccare e sbloccare utenti

Segnala attività sospetta sostituisce l'Avviso di illecito grazie all'integrazione con Microsoft Entra ID Protection per la correzione basata sui rischi, per le funzionalità di creazione di reporting migliori e per l'amministrazione con privilegi minimi. La funzionalità Blocca/sblocca utenti verrà rimossa il 1° marzo 2025.

Se il dispositivo di un utente viene smarrito o rubato, puoi bloccare i tentativi MFA di Microsoft Entra per l'account associato. Tutti i tentativi MFA di Microsoft Entra per gli utenti bloccati vengono negati automaticamente. L'utente non ha richiesto MFA per 90 giorni dal momento in cui è stato bloccato.

Blocca utente

Per bloccare un utente, completa la procedura seguente.

1. Passa a Protezione>Autenticazione a più fattori>Blocca/sblocca utenti.
2. Selezionare Aggiungi per bloccare un utente.
3. Immetti il nome utente per l'utente bloccato nel formato username@domain.com e, quindi, fornisci un commento nella casella Motivo.
4. Seleziona OK per bloccare l'utente.

Sblocca utente

Per sbloccare un utente, completa la procedura seguente:

1. Passa a Protezione>Autenticazione a più fattori>Blocca/sblocca utenti.
2. Nella colonna Azione accanto all'utente seleziona Sblocca.
3. Immetti un commento nella casella Motivo per lo sblocco.
4. Seleziona OK per sbloccare l'utente.

Notifiche

Segnala attività sospette sostituisce le notifiche a causa dell'integrazione con Microsoft Entra ID Protection per la correzione basata sui rischi, le funzionalità di creazione di report migliori e l'amministrazione con privilegi minimi. La funzionalità Notifiche verrà rimossa il 1° marzo 2025.

Puoi configurare Microsoft Entra ID per inviare notifiche tramite posta elettronica quando gli utenti segnalano avvisi di illecito. Queste notifiche vengono in genere inviate agli amministratori di identità, poiché le credenziali dell'account utente sono probabilmente compromesse. L'esempio seguente mostra l'aspetto di un messaggio di posta elettronica di notifica di avviso di illecito:

Per configurare le notifiche di avviso di illecito:

1. Passa a Protezione>Autenticazionea più fattori>Notifiche.
2. Immetti l'indirizzo e-mail a cui inviare la notifica.
3. Per rimuovere un indirizzo di posta elettronica esistente, seleziona ... accanto all'indirizzo di posta elettronica e quindi seleziona Elimina.
4. Seleziona Salva.

Token OATH

Microsoft Entra ID supporta l'uso di token SHA-1 OATH-TOTP che aggiornano i codici ogni 30 o 60 secondi. Puoi acquistare questi token dal fornitore di tua scelta.

I token hardware OATH TOTP sono in genere dotati di una chiave privata o di un seme pre-programmato nel token. Devi immettere queste chiavi in Microsoft Entra ID come descritto nei passaggi seguenti. Per le chiavi private è previsto un limite di 128 caratteri e questo può non essere compatibile con tutti i token. La chiave privata può contenere solo i caratteri a-z o A-Z e le cifre 1-7. Deve essere codificata in Base32.

I token hardware OATH TOTP programmabili di cui può essere rieseguito il seeding possono essere configurati anche con Microsoft Entra ID nel flusso di configurazione del token software.

I token hardware OATH sono supportati come parte di un'anteprima pubblica. Per altre informazioni sulle anteprime, vedere Condizioni per l'utilizzo supplementari per le anteprime di Microsoft Azure.

Dopo aver acquisito i token, devi caricarli in un formato di file con valori delimitati da virgole (CSV). Includi l'UPN, il numero di serie, la chiave privata, l'intervallo di tempo, il produttore e il modello, come mostrato in questo esempio:

upn,serial number,secret key,time interval,manufacturer,model
Helga@contoso.com,1234567,1234567abcdef1234567abcdef,60,Contoso,HardwareKey

1. Accedi all'Interfaccia di amministrazione di Microsoft Entra come Amministratore globale.
2. Passare a Protezione>Autenticazione a più fattori>Token OATH e caricare il file CSV.

A seconda delle dimensioni del file CSV, l'elaborazione potrebbe richiedere alcuni minuti. Seleziona Aggiorna per ottenere lo stato. Se sono presenti errori nel file, puoi scaricare un file CSV che li elenca. I nomi dei campi nel file CSV scaricato sono diversi da quelli nella versione caricata.

Dopo aver risolto eventuali errori, l'amministratore può attivare ogni chiave selezionando Attiva per il token e immettendo l'OTP visualizzata nel token.

Gli utenti possono avere una combinazione composta da fino a cinque token hardware OATH o applicazioni di autenticazione, quali l'app Microsoft Authenticator, configurate per l'uso in qualsiasi momento.

Impostazioni telefonata

Se gli utenti ricevono chiamate telefoniche per le richieste MFA, è possibile configurare l'esperienza, ad esempio l'ID chiamante o il messaggio di saluto vocale che sentono.

Negli Stati Uniti, se non è stato configurato l'ID chiamante MFA, le chiamate vocali da Microsoft provengono dai numeri seguenti. Gli utenti con filtri di posta indesiderata devono escludere questi numeri.

Numero predefinito: +1 (855) 330-8653

Nella tabella seguente sono elencati più numeri per i diversi paesi.

Per configurare il proprio numero ID chiamante, segui questi passaggi:

1. Passa a Protezione>Autenticazione a più fattori>Impostazioni chiamata telefonica.
2. Imposta il numero ID chiamante MFA sul numero che desideri sia visualizzato dagli utenti sui loro telefoni. Sono consentiti solo numeri degli Stati Uniti.
3. Seleziona Salva.

Messaggi vocali personalizzati

Puoi usare registrazioni o messaggi di saluto personalizzati per l'autenticazione a più fattori di Microsoft Entra. Questi messaggi possono essere usati in aggiunta alle registrazioni predefinite di Microsoft o per sostituirle.

Prima di iniziare, tenere presente le seguenti restrizioni:

• I formati di file supportati sono WAV e MP3.
• La dimensione massima dei file è 1 MB.
• I messaggi di autenticazione devono avere una durata inferiore a 20 secondi. Se i messaggi durano più di 20 secondi, è possibile che la verifica abbia esito negativo. Se l'utente non risponde prima della fine del messaggio, la verifica scade.

Comportamento per la lingua del messaggio personalizzato

Quando un messaggio vocale personalizzato viene riprodotto per l'utente, la lingua del messaggio dipende da questi fattori:

• Lingua dell'utente.
  • Lingua rilevata dal browser dell'utente.
  • Altri scenari di autenticazione potrebbero comportarsi in modo diverso.
• Lingua degli eventuali messaggi personalizzati disponibili.
  • Questa lingua viene scelta dall'amministratore, quando viene aggiunto un messaggio personalizzato.

Ad esempio, se è presente un solo messaggio personalizzato ed è in lingua tedesca:

• Un utente che esegue l'autenticazione in lingua tedesca ascolterà il messaggio personalizzato in tedesco.
• Il messaggio inglese standard verrà riprodotto per un utente che esegue l'autenticazione in lingua inglese.

Valori predefiniti dei messaggi vocali personalizzati

È possibile usare gli script di esempio seguenti per creare i propri messaggi personalizzati. Queste frasi sono quelle predefinite se non si configurano i propri messaggi personalizzati.

Configurare un messaggio personalizzato

Per usare i messaggi personalizzati, completa i passaggi seguenti:

1. Passa a Protezione>Autenticazione a più fattori>Impostazioni chiamata telefonica.
2. Selezionare Aggiungi messaggio di saluto.
3. Scegli il Tipo di messaggio di saluto, ad esempio Saluto (standard) o Autenticazione completata.
4. Seleziona Lingua. Consulta la sezione precedente sul comportamento della lingua del messaggio personalizzato.
5. Cerca e seleziona un file audio .mp3 o .wav da caricare.
6. Seleziona Aggiungi e quindi Salva.

Impostazioni del servizio MFA

Le impostazioni per le password delle app, gli indirizzi IP attendibili, le opzioni di verifica e la memorizzazione dell'autenticazione a più fattori nei dispositivi attendibili sono disponibili nelle impostazioni del servizio. Questo è un portale legacy.

È possibile accedere alle impostazioni del servizio dall'Interfaccia di amministrazione di Microsoft Entra passando a Protezione>Autenticazione a più fattori>Introduzione>Configura>Impostazioni MFA aggiuntive basate sul cloud. Si apre una finestra o una scheda con opzioni aggiuntive per le impostazioni del servizio.

Indirizzi IP attendibili

Le condizioni di posizione sono il modo consigliato per configurare MFA con l'accesso condizionale a causa del supporto IPv6 e di altri miglioramenti. Per altre informazioni sulle condizioni di posizione, consulta Uso della condizione di posizione nei criteri di accesso condizionale. Per i passaggi per definire le posizioni e creare i criteri di accesso condizionale, consultare Accesso condizionale: bloccare l'accesso in base alla posizione.

La funzionalità IP attendibili dell'autenticazione a più fattori di Microsoft Entra ignora anche le richieste MFA per gli utenti che accedono da un intervallo di indirizzi IP definito. È possibile impostare intervalli IP attendibili per gli ambienti locali. Quando gli utenti si trovano in una di queste posizioni, non è disponibile alcuna richiesta di autenticazione a più fattori di Microsoft Entra. La funzionalità indirizzi IP attendibili richiede l'edizione Microsoft Entra ID P1.

Se l'organizzazione usa l'estensione del server dei criteri di rete per garantire l'MFA ad applicazioni locali, gli indirizzi IP di origine sembreranno essere sempre del server dei criteri di rete attraverso cui passa il tentativo di autenticazione.

Il bypass degli indirizzi IP attendibili funziona solo dall'interno della rete Intranet dell'azienda. Se si seleziona l'opzione Tutti gli utenti federati e un utente accede dall'esterno della rete Intranet dell'azienda, tale utente deve autenticarsi con l'autenticazione a più fattori. Il processo è lo stesso anche se l'utente presenta un'attestazione AD FS.

Esperienza utente interna alla rete dell'azienda

Quando la funzionalità indirizzi IP attendibili è disabilitata, per i flussi del browser è necessaria l'autenticazione a più fattori. Le password dell'app sono necessarie per applicazioni rich client meno recenti.

Quando vengono usati indirizzi IP attendibili, l'autenticazione a più fattori non è necessaria per i flussi del browser. Le password delle app non sono necessarie per le applicazioni rich client meno recenti, a condizione che l'utente non abbia creato una password dell'app. Dopo che entra in uso una password dell'app, la password rimane obbligatoria.

Esperienza utente esterna alla rete dell'azienda

Indipendentemente dal fatto che siano definiti indirizzi IP attendibili, è necessaria l'autenticazione a più fattori per i flussi del browser. Le password dell'app sono necessarie per applicazioni rich client meno recenti.

Abilitare le località denominate con l'accesso condizionale

È possibile usare le regole di accesso condizionale per definire posizioni denominate usando i passaggi seguenti:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.
2. Passa a Protezione>Accesso condizionale>Posizioni denominate.
3. Selezionare Nuova località.
4. Immettere un nome per la località.
5. Selezionare Contrassegna come posizione attendibile.
6. Immetti l'intervallo IP per l'ambiente nella notazione CIDR. Ad esempio, 40.77.182.32/27.
7. Selezionare Crea.

Abilitare la funzionalità Indirizzi IP attendibili con l'accesso condizionale

Per abilitare gli indirizzi IP attendibili usando i criteri di accesso condizionale, completa i passaggi seguenti:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.

2. Passa a Protezione>Accesso condizionale>Posizioni denominate.

3. Seleziona Configura Indirizzi IP attendibili per l'autenticazione a più fattori.

4. Nella pagina Impostazioni del servizio, in Indirizzi IP attendibili scegli una di queste opzioni:

   • Per le richieste degli utenti federati originate dalla Intranet dell'utente: per scegliere questa opzione seleziona la casella di controllo. Tutti gli utenti federati che eseguono l'accesso dalla rete dell'azienda ignorano le autenticazioni a più fattori usando un'attestazione rilasciata da AD FS. Assicurarsi che AD FS abbia una regola per aggiungere l'attestazione intranet al traffico appropriato. Se la regola non esiste, crea la regola seguente in AD FS:

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

     Nota

     L'opzione Ignora autenticazione a più fattori per le richieste di utenti federati nella rete Intranet influirà sulla valutazione dell'accesso condizionale per le posizioni. Qualsiasi richiesta con l'attestazione insidecorporatenetwork viene considerata come proveniente da una posizione attendibile se quell'opzione è selezionata.

   • Per le richieste da un intervallo specifico di IP pubblici: per scegliere questa opzione immetti gli indirizzi IP nella casella di testo nella notazione CIDR.

     • Per gli indirizzi IP nell'intervallo da xxx.xxx.xxx.1 a xxx.xxx.xxx.254, usa una notazione, ad esempio xxx.xxx.xxx.0/24.
     • Per un singolo indirizzo IP, usare una notazione, ad esempio xxx.xxx.xxx.xxx/32.
     • Immettere fino a 50 intervalli di indirizzi IP. Gli utenti che accedono da questi indirizzi IP ignorano le autenticazioni a più fattori.

5. Seleziona Salva.

Abilitare la funzionalità Indirizzi IP attendibili tramite le impostazioni del servizio

Se non si vogliono usare i criteri di accesso condizionale per abilitare gli indirizzi IP attendibili, è possibile configurare le impostazioni del servizio per l'autenticazione a più fattori di Microsoft Entra usando i passaggi seguenti:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.

2. Passa a Protezione>Autenticazione a più fattori>Altre impostazioni di autenticazione a più fattori basate sul cloud.

3. Nella pagina Impostazioni del servizio, in Indirizzi IP attendibili scegli una o entrambe le opzioni seguenti:

   • Per le richieste provenienti da utenti federati nella rete Intranet: per scegliere questa opzione seleziona la casella di controllo. Tutti gli utenti federati che eseguono l'accesso dalla rete dell'azienda ignorano l'autenticazione a più fattori usando un'attestazione rilasciata da AD FS. Assicurarsi che AD FS abbia una regola per aggiungere l'attestazione intranet al traffico appropriato. Se la regola non esiste, crea la regola seguente in AD FS:

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

   • Per le richieste provenienti da un intervallo specifico di subnet di indirizzi IP: per scegliere questa opzione immetti gli indirizzi IP nella casella di testo nella notazione CIDR.

     • Per gli indirizzi IP nell'intervallo da xxx.xxx.xxx.1 a xxx.xxx.xxx.254, usa una notazione, ad esempio xxx.xxx.xxx.0/24.
     • Per un singolo indirizzo IP, usare una notazione, ad esempio xxx.xxx.xxx.xxx/32.
     • Immettere fino a 50 intervalli di indirizzi IP. Gli utenti che accedono da questi indirizzi IP ignorano le autenticazioni a più fattori.

4. Seleziona Salva.

Metodi di verifica

È possibile scegliere i metodi di verifica disponibili per gli utenti nel portale delle impostazioni del servizio. Quando gli utenti registrano i propri account per l'autenticazione a più fattori di Microsoft Entra, scelgono il metodo di verifica preferito tra le opzioni abilitate. Le linee guida per il processo di registrazione dell'utente sono disponibili in Configurare l'account per l'autenticazione a più fattori.

Sono disponibili i seguenti metodi di verifica:

Per altre informazioni, consulta Quali metodi di autenticazione e verifica sono disponibili in Microsoft Entra ID?.

Abilitare e disabilitare i metodi di verifica

Per abilitare o disabilitare i metodi di verifica, completa i passaggi seguenti:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.
2. Passa a Identità>Utenti.
3. Selezionare MFA per utente.
4. In Autenticazione a più fattori nella parte superiore della pagina seleziona Impostazioni del servizio.
5. Nella pagina Impostazioni del servizio, in Opzioni di verifica seleziona o deseleziona le caselle di controllo appropriate.
6. Seleziona Salva.

Ricordare l’autenticazione a più fattori

La funzionalità Memorizza autenticazione a più fattori permette agli utenti di ignorare le verifiche successive per un numero specificato di giorni, dopo aver effettuato correttamente l'accesso a un dispositivo tramite MFA. Per migliorare l'usabilità e ridurre al minimo il numero di volte in cui un utente deve eseguire l'MFA su un determinato dispositivo, seleziona una durata di 90 giorni o più.

Funzionamento della funzionalità

La funzionalità Memorizza autenticazione a più fattori imposta un cookie permanente nel browser quando un utente seleziona l'opzione Non formulare la richiesta per X giorni al momento dell'accesso. Fino alla scadenza del cookie, all'utente non verrà più richiesta l'MFA. Se l'utente apre un altro browser sullo stesso dispositivo o cancella i cookie, la verifica verrà richiesta di nuovo.

L'opzione Non formulare la richiesta per X giorni non viene visualizzata nelle applicazioni non basate su browser, indipendentemente dal fatto che l'app supporti l'autenticazione moderna. Queste app usano token di aggiornamento che creano nuovi token di accesso ogni ora. Quando viene convalidato un token di aggiornamento, Microsoft Entra ID verifica che l'ultima autenticazione a più fattori si sia verificata entro il numero di giorni specificato.

La funzionalità riduce il numero di autenticazioni per le app Web, che in genere viene richiesta ogni volta. Questa funzione può comportare un aumento del numero di autenticazioni per i client con autenticazione moderna che in genere la richiedono ogni 180 giorni, se non è configurata una durata più breve. Può anche far aumentare il numero di autenticazioni se combinata con criteri di accesso condizionale.

Abilitare la funzionalità Memorizza autenticazione a più fattori

Per abilitare e configurare l'opzione per consentire agli utenti di ricordare lo stato MFA e ignorare le richieste, completa i passaggi seguenti:

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore dei criteri di autenticazione.
2. Passa a Identità>Utenti.
3. Selezionare MFA per utente.
4. In Autenticazione a più fattori nella parte superiore della pagina seleziona Impostazioni del servizio.
5. Nella pagina Impostazioni del servizio, in memorizza autenticazione a più fattori seleziona Consenti agli utenti di memorizzare l'autenticazione a più fattori nei dispositivi attendibili.
6. Imposta il numero di giorni per consentire ai dispositivi attendibili di ignorare le autenticazioni a più fattori. Per un'esperienza utente ottimale, estendi la durata a 90 giorni o di più.
7. Seleziona Salva.

Contrassegnare un dispositivo come attendibile

Dopo aver abilitato la funzionalità memorizza autenticazione a più fattori, gli utenti possono contrassegnare un dispositivo come attendibile al momento dell'accesso selezionando Non chiedere più.

Passaggi successivi

Per ulteriori informazioni, consulta Quali metodi di autenticazione e verifica sono disponibili in Microsoft Entra ID?