Implementando Autenticação Sem Senha com Microsoft Entra

Quando Usar

• A organização quer eliminar ataques baseados em senhas (phishing, credential stuffing, força bruta)
• Um mandato regulatório ou interno exige MFA resistente a phishing (Ordem Executiva 14028, orientação da CISA)
• Implementando chaves de segurança FIDO2 ou Windows Hello for Business em toda a empresa
• Migrando de MFA legado (SMS, chamada telefônica) para métodos de autenticação resistentes a phishing
• Implementando suporte a passkey para dispositivos Windows com junção híbrida ou junção à nuvem
• Reduzindo custos de helpdesk com solicitações de redefinição de senha

Não use para ambientes que não suportam protocolos de autenticação modernos; aplicativos legados que usam NTLM ou autenticação básica devem ser migrados primeiro.

Pré-requisitos

• Licença Microsoft Entra ID P1 ou P2 (Azure AD Premium)
• Windows 10/11 22H2+ para implantação do Windows Hello for Business
• Chaves de segurança compatíveis com FIDO2 (YubiKey Série 5, Feitian BioPass, Google Titan)
• Aplicativo Microsoft Authenticator 6.8+ para suporte a passkey em iOS 16+/Android 14+
• Junção híbrida ao Azure AD ou junção ao Azure AD configurada para dispositivos Windows
• Políticas de Acesso Condicional configuradas para força de autenticação

Fluxo de Trabalho

Etapa 1: Configurar a Política de Métodos de Autenticação

Habilite métodos de autenticação sem senha no Microsoft Entra:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod", "User.ReadWrite.All"

# Enable FIDO2 Security Key authentication method
$fido2Policy = @{
    "@odata.type" = "#microsoft.graph.fido2AuthenticationMethodConfiguration"
    state = "enabled"
    isAttestationEnforced = $true
    isSelfServiceRegistrationAllowed = $true
    keyRestrictions = @{
        isEnforced = $true
        enforcementType = "allow"
        aaGuids = @(
            "cb69481e-8ff7-4039-93ec-0a2729a154a8",  # YubiKey 5 Series
            "ee882879-721c-4913-9775-3dfcce97072a",  # YubiKey 5 NFC
            "fa2b99dc-9e39-4257-8f92-4a30d23c4118",  # YubiKey 5C NFC
            "2fc0579f-8113-47ea-b116-bb5a8db9202a",  # YubiKey Bio
            "73bb0cd4-e502-49b8-9c6f-b59445bf720b"   # Google Titan
        )
    }
    includeTargets = @(
        @{
            targetType = "group"
            id = "all_users"  # Or specific security group ID
        }
    )
}
Update-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration `
    -AuthenticationMethodConfigurationId "fido2" `
    -BodyParameter $fido2Policy

# Enable Microsoft Authenticator with passkey support
$authenticatorPolicy = @{
    "@odata.type" = "#microsoft.graph.microsoftAuthenticatorAuthenticationMethodConfiguration"
    state = "enabled"
    featureSettings = @{
        displayAppInformationRequiredState = @{
            state = "enabled"
            includeTarget = @{
                targetType = "group"
                id = "all_users"
            }
        }
        displayLocationInformationRequiredState = @{
            state = "enabled"
            includeTarget = @{
                targetType = "group"
                id = "all_users"
            }
        }
        companionAppAllowedState = @{
            state = "enabled"
        }
    }
    includeTargets = @(
        @{
            targetType = "group"
            id = "all_users"
            authenticationMode = "any"
        }
    )
}
Update-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration `
    -AuthenticationMethodConfigurationId "microsoftAuthenticator" `
    -BodyParameter $authenticatorPolicy

# Enable Windows Hello for Business
$whfbPolicy = @{
    "@odata.type" = "#microsoft.graph.windowsHelloForBusinessAuthenticationMethodConfiguration"
    state = "enabled"
    pinMinimumLength = 6
    pinMaximumLength = 127
    pinLowercaseCharactersUsage = "allowed"
    pinUppercaseCharactersUsage = "allowed"
    pinSpecialCharactersUsage = "allowed"
    securityKeyForSignIn = "enabled"
    includeTargets = @(
        @{
            targetType = "group"
            id = "all_users"
        }
    )
}
Update-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration `
    -AuthenticationMethodConfigurationId "windowsHelloForBusiness" `
    -BodyParameter $whfbPolicy

Write-Host "Passwordless authentication methods enabled successfully"

Etapa 2: Configurar Acesso Condicional de Força de Autenticação

Crie políticas de Acesso Condicional que exijam autenticação resistente a phishing:

…