Entra ID Registrazione MFA Senza Password: cosa ha semplificato Microsoft e perché conta per il rollout

Entra ID Registrazione MFA Senza Password: cosa cambia

Per anni, Microsoft Entra ID ha imposto ai nuovi utenti un percorso di onboarding "metodo più debole per primo": prima di poter registrare una passkey, una chiave di sicurezza FIDO2, Windows Hello for Business, macOS Platform SSO o l'accesso senza password di Microsoft Authenticator, era necessario configurare prima un metodo MFA di base — in genere SMS o chiamata vocale. Questo ordine rendeva i metodi phishabili e vulnerabili al SIM-swapping il punto di ingresso predefinito per ogni nuova identità, anche nei tenant che volevano passkey ovunque. Il cambio Entra ID registrazione MFA senza password che Microsoft sta ora distribuendo rimuove questo requisito.

Secondo il tracciamento del Microsoft 365 message center (MC1450133, riassunto da PUPUWEB e OurCloudNetwork, e ripreso questa settimana nelle discussioni della community su r/AZURE e r/entra), gli utenti idonei potranno registrare una passkey sincronizzata, una passkey Microsoft Entra su Windows, o una chiave di sicurezza FIDO2 come primo metodo di autenticazione in assoluto — senza dover passare prima da SMS o voce.

Secondo le stesse fonti di tracciamento, il rollout è graduale:

• Fase 1 — passkey sincronizzate, passkey Microsoft Entra su Windows e chiavi di sicurezza FIDO2 — inizia a essere distribuita in tutto il mondo e nei tenant GCC a metà ottobre 2026, con completamento previsto entro metà novembre 2026.
• Fase 2 — estensione della registrazione senza password come primo fattore a Windows Hello for Business, macOS Platform SSO e l'accesso senza password via telefono di Microsoft Authenticator — segue in seguito.

Gli amministratori non perdono il controllo: la policy dei metodi di autenticazione esistente e il Conditional Access continuano a determinare quali metodi sono effettivamente disponibili e per chi. Il cambio riduce l'attrito di registrazione, non abilita silenziosamente le passkey per i tenant che non hanno attivato il metodo.

Come funziona

La registrazione senza password come primo metodo si basa su un'infrastruttura già esistente in Entra ID: la policy dei metodi di autenticazione (quali metodi di autenticazione sono abilitati a livello di tenant, incluso FIDO2/passkey con Allow self-service setup) e la funzione registration campaign, che spinge gli utenti già connessi verso un metodo target dopo aver completato l'MFA.

Secondo la documentazione di Microsoft Learn sulla registration campaign, la campagna si configura tramite il blocco registrationEnforcement.authenticationMethodsRegistrationCampaign della policy dei metodi di autenticazione (leggibile/modificabile via Microsoft Graph su GET/PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy), con queste proprietà:

Quando si usa lo stato Microsoft managed, Microsoft sta già spostando gradualmente il target da Authenticator a fido2 (passkey) e portando l'intervallo di snooze a 1 giorno — ma anche disabilitando il limite di registrazione forzata dopo 3 rinvii, quindi i solleciti diventano più frequenti mentre la registrazione forzata resta disattivata per i tenant che non hanno impostato valori espliciti — un aspetto da conoscere prima di dare per scontato che il target della vostra campagna attuale sia ancora quello configurato mesi fa.

Rilevamento: cosa controllare nel tuo tenant

Prima che arrivi la Fase 1, verifica cosa il tuo tenant è effettivamente configurato per consentire e chi si sta effettivamente registrando:

Remediation: prepararsi al rollout

1. Abilita il metodo passkey (FIDO2) con configurazione self-service, se non l'hai già fatto — è il prerequisito perché gli utenti possano beneficiare della registrazione senza password come primo metodo.
2. Decidi ora il target della tua registration campaign. Se vuoi che i nuovi utenti arrivino sulle passkey invece che sulle notifiche push di Authenticator, imposta esplicitamente targetedAuthenticationMethod su fido2 invece di affidarti ai valori predefiniti gestiti da Microsoft, che cambiano secondo i tempi di Microsoft, non i tuoi.
3. Rivedi il Conditional Access su "Register security information". Se la registrazione deve avvenire solo da dispositivi gestiti o reti attendibili, conferma che quella policy si applichi ancora una volta che il metodo senza password diventa l'opzione di primo contatto, non solo un upgrade successivo — vedi la nostra guida alle lacune del Conditional Access per gli errori più comuni.
4. Fai un pilot prima che la Fase 1 si completi nella tua regione. I solleciti per le passkey vengono valutati per combinazione dispositivo-e-browser, non per utente — testa l'esperienza sul tuo parco dispositivi reale (Windows/Chrome, macOS/Safari, mobile) invece di assumere un comportamento uniforme.
5. Ricontrolla direttamente MC1450133 nel tuo centro di amministrazione Microsoft 365, message center, più vicino alla finestra di rollout — il testo della tempistica della Fase 2 di Microsoft è internamente incoerente, e il message center è la fonte di verità specifica del tuo tenant per la tua ondata di rollout.
6. Non fermarti all'ordine di registrazione. La registrazione senza password come primo metodo colma solo parte del divario — vedi perché l'MFA da solo non basta per i controlli di Conditional Access e Security Defaults che devono comunque essere in atto.

Come EtcSec rileva questo

EtcSec segnala i tenant in cui i metodi senza password non sono disponibili o applicati tramite i controlli MFA_NO_PASSWORDLESS e MFA_NO_FIDO2 (passkey/FIDO2 non abilitato o non configurato per il self-service), MFA_NO_STRONG_METHOD (nessun metodo resistente al phishing configurato), MFA_PHONE_ONLY (utenti limitati all'MFA basato su telefono, esattamente lo schema che questo cambio Microsoft è pensato per superare), e CA_NO_MFA_REQUIREMENT (nessuna policy di Conditional Access richiede effettivamente l'MFA in primo luogo, il che vanifica qualsiasi miglioramento nell'ordine di registrazione).