Configurar MFA (autenticação multifator) no Microsoft Entra ID é uma das práticas mais importantes para profissionais que trabalham com infraestrutura de TI e administração de sistemas. Essa camada adicional de segurança vai além da senha tradicional, exigindo um segundo fator de autenticação — como um código de tempo, biometria ou notificação push — para validar o acesso à conta. Com o aumento de ataques cibernéticos e a crescente adoção de ambientes híbridos e cloud, dominar essa configuração se tornou essencial para qualquer administrador que queira proteger os ativos digitais da organização.
Neste guia, você aprenderá passo a passo como ativar e configurar a autenticação multifator no Entra ID, desde as opções de verificação disponíveis até as melhores práticas para implementação em sua infraestrutura. Abordaremos tanto as configurações básicas quanto cenários mais avançados, permitindo que você implemente MFA de forma eficaz e alinhada com as políticas de segurança da sua organização. Se você está se preparando para certificações de cloud ou simplesmente deseja elevar seu conhecimento em segurança da informação, este conteúdo é fundamental para sua trajetória profissional.
O que é MFA no Microsoft Entra ID e por que configurar agora
O Microsoft Entra ID (anteriormente Azure Active Directory) é o serviço de identidade e acesso em nuvem da Microsoft, responsável por autenticar usuários em aplicativos como Microsoft 365, Azure, Dynamics e milhares de integrações SaaS. A autenticação multifator (MFA) adiciona uma segunda camada de verificação além da senha — um código temporário, uma notificação push ou uma chave física — tornando o comprometimento de conta exponencialmente mais difícil mesmo quando a senha vaza.
Dados do próprio time de segurança da Microsoft indicam que o MFA bloqueia mais de 99,9% dos ataques automatizados de comprometimento de conta. Em um cenário onde credential stuffing, phishing e ataques de força bruta são rotineiros, manter apenas senha como barreira de acesso é inaceitável para qualquer organização. Se você atua ou quer atuar como analista de segurança no ecossistema Microsoft, dominar a configuração de MFA no Entra ID é uma competência fundamental e cobrada em entrevistas e certificações.
Além do aspecto técnico, regulamentações como LGPD, ISO 27001 e frameworks como NIST CSF apontam MFA como controle essencial. Configurar agora evita multas, incidentes e retrabalho emergencial após uma violação.
Pré-requisitos antes de configurar o MFA no Entra ID
Licenças necessárias (Free, P1 e P2): qual cobre o quê
O nível de controle disponível para MFA depende diretamente da licença associada ao tenant:
- Microsoft Entra ID Free — Inclui os Security Defaults, que habilitam MFA para todos os usuários com configurações fixas e sem granularidade. Suficiente para organizações pequenas sem requisitos específicos de exceção.
- Microsoft Entra ID P1 (incluído no Microsoft 365 Business Premium e E3) — Desbloqueia o Acesso Condicional, permitindo políticas baseadas em grupo, aplicativo, localização e plataforma de dispositivo. É o nível recomendado para a maioria das empresas.
- Microsoft Entra ID P2 (incluído no E5 e no Microsoft 365 Business Premium add-on) — Adiciona políticas baseadas em risco de identidade e risco de entrada via Microsoft Entra ID Protection, possibilitando MFA adaptativo conforme o nível de ameaça detectado em tempo real.
O per-user MFA (MFA por usuário individual) funciona em qualquer nível de licença, mas é considerado legado e não oferece os controles modernos das opções acima.
Permissões de administrador exigidas no portal do Entra ID
Para configurar MFA, o administrador precisa de pelo menos uma das seguintes funções atribuídas no Entra ID:
- Administrador Global — acesso total, incluindo Security Defaults e todas as políticas.
- Administrador de Segurança — gerencia políticas de Acesso Condicional e métodos de autenticação.
- Administrador de Autenticação — gerencia métodos de autenticação de usuários não administradores.
- Administrador de Acesso Condicional — cria e edita políticas de Conditional Access sem acesso a outras configurações sensíveis.
Acesse o portal em entra.microsoft.com ou portal.azure.com. Certifique-se também de que o tenant não está em estado de trial expirado, pois algumas funcionalidades ficam bloqueadas.
As três formas de habilitar MFA no Microsoft Entra ID
Opção 1: Security Defaults (padrões de segurança) — ideal para pequenas empresas
Os Security Defaults são um conjunto de configurações de segurança pré-definidas pela Microsoft, ativadas por padrão em tenants criados após outubro de 2019. Eles exigem registro de MFA para todos os usuários, bloqueiam autenticação legada (protocolos como SMTP básico, IMAP e POP3) e forçam MFA para administradores em cada login. A vantagem é a simplicidade: uma única chave liga tudo. A desvantagem é a ausência de exceções — não é possível excluir um grupo específico ou criar regras por aplicativo.
Opção 2: Acesso Condicional (Conditional Access) — controle granular por grupo, app ou risco
O Acesso Condicional é a abordagem moderna e recomendada para organizações com licença P1 ou superior. Funciona como um motor de políticas: se determinada condição for verdadeira (usuário pertence ao grupo X, acessa o aplicativo Y de um país Z), então aplica o controle (exigir MFA, bloquear acesso, exigir dispositivo gerenciado). Isso permite exceções legítimas, como não exigir MFA para dispositivos corporativos já registrados no Intune dentro da rede interna.
Opção 3: MFA por usuário individual (per-user MFA) — legado, quando usar
O per-user MFA é o método mais antigo, acessado por um portal separado herdado do Azure AD clássico. Ele define três estados por usuário: Desabilitado, Habilitado (usuário é convidado a registrar) e Imposto (MFA obrigatório em todo login). Não interage bem com Acesso Condicional e não suporta políticas baseadas em risco. Use apenas em tenants sem licença P1 que não podem usar Security Defaults por alguma incompatibilidade específica, ou em ambientes de transição.
Passo a passo: habilitar MFA via Security Defaults no portal do Entra ID
Acessar o portal e localizar as configurações de Security Defaults
- Acesse entra.microsoft.com com uma conta de Administrador Global.
- No menu lateral, clique em Identidade → Visão geral → aba Propriedades.
- Role até o final da página e clique em “Gerenciar padrões de segurança” (Manage security defaults).
Ativar os padrões de segurança e salvar as alterações
- No painel lateral que se abre, localize o toggle “Padrões de segurança”.
- Altere o valor para Habilitado.
- Clique em Salvar. A alteração é imediata e não requer reinicialização de serviços.
Atenção: Security Defaults e Acesso Condicional são mutuamente exclusivos. Se você já tem políticas de Acesso Condicional ativas, o portal impedirá a ativação dos padrões de segurança — e vice-versa.
O que acontece após a ativação: experiência do usuário final
Após a ativação, cada usuário terá um período de 14 dias para registrar um método de MFA antes que o registro se torne obrigatório no próximo login. Durante esse período, o usuário pode pular o registro, mas ao final do prazo o acesso fica condicionado ao cadastro. O método padrão solicitado é o Microsoft Authenticator. Usuários que já tinham MFA registrado não percebem interrupção.
Passo a passo: configurar MFA com Acesso Condicional no Entra ID
Criar uma nova política de Acesso Condicional no portal
- No portal entra.microsoft.com, navegue até Proteção → Acesso Condicional.
- Clique em “Nova política” e dê um nome descritivo, como “MFA – Todos os usuários – Todos os apps”.
Definir usuários, grupos e aplicativos no escopo da política
- Em Usuários, selecione “Todos os usuários” ou um grupo específico do Entra ID. Recomenda-se sempre excluir pelo menos uma conta de acesso de emergência (break-glass account) para evitar bloqueio total do tenant.
- Em Recursos de destino (Target resources), escolha “Todos os aplicativos de nuvem” para cobertura ampla, ou selecione aplicativos específicos como Exchange Online ou SharePoint.
Configurar condições: localização, risco de entrada e plataforma de dispositivo
A seção Condições permite refinar quando a política dispara:
- Localizações: exija MFA apenas para acessos fora de IPs corporativos confiáveis, reduzindo fricção interna.
- Risco de entrada (requer P2): dispare MFA automaticamente quando o Entra ID Protection detectar risco médio ou alto, como login de IP anônimo ou viagem impossível.
- Plataformas de dispositivo: aplique regras diferentes para iOS, Android, Windows e dispositivos não gerenciados.
Definir o controle de concessão: exigir MFA
Em Concessão (Grant), selecione “Conceder acesso” e marque a caixa “Exigir autenticação multifator”. Se desejar empilhar controles, é possível combinar MFA com “Exigir dispositivo em conformidade” usando o operador AND ou OR conforme a necessidade do ambiente.
Testar a política em modo de relatório antes de ativar em produção
Antes de ativar, configure o estado da política como “Somente relatório” (Report-only). Nesse modo, a política é avaliada mas não aplicada — os resultados aparecem nos logs de entrada do Entra ID, permitindo identificar quais usuários seriam impactados. Após validar por 48 a 72 horas sem anomalias, mude o estado para “Ativado”. Essa prática evita bloqueios acidentais em produção, especialmente em ambientes com contas de serviço que usam autenticação legada.
Métodos de autenticação disponíveis e como configurá-los
Microsoft Authenticator (push e passwordless): configuração recomendada
O Microsoft Authenticator é o método mais seguro e fluido disponível no Entra ID. Suporta notificações push (o usuário aprova ou nega no celular), TOTP interno e autenticação passwordless por número de correspondência. Para habilitá-lo: vá em Proteção → Métodos de autenticação → Políticas → selecione Microsoft Authenticator → habilite e defina os grupos alvo.
TOTP (aplicativos de código como Google Authenticator e Authy)
O protocolo TOTP (Time-based One-Time Password) gera códigos de 6 dígitos a cada 30 segundos. Qualquer aplicativo compatível com TOTP funciona — Google Authenticator, Authy, 1Password. No Entra ID, esse método é habilitado automaticamente quando o usuário registra um aplicativo autenticador de terceiros via QR code no portal mysignins.microsoft.com. É uma alternativa sólida para usuários que preferem não usar o app da Microsoft.
SMS e chamada de voz: limitações e riscos de segurança
SMS e chamada de voz são métodos suportados, mas apresentam vulnerabilidades conhecidas: SIM swapping, interceptação SS7 e engenharia social com operadoras. A Microsoft e o NIST recomendam evitar SMS como método primário de MFA. Use apenas como fallback para usuários sem smartphone ou em cenários de recuperação de conta, nunca como método padrão.
Chave de segurança FIDO2 (hardware token): passo a passo de registro
As chaves FIDO2 (como YubiKey, Feitian ou Token2) são o método mais resistente a phishing disponível, pois a autenticação é vinculada ao domínio do site — um site falso não consegue capturar a credencial. Para registrar:
- Habilite o método FIDO2 em Métodos de autenticação → Chave de segurança FIDO2 → defina os grupos permitidos.
- O usuário acessa mysignins.microsoft.com → Informações de segurança → Adicionar método → Chave de segurança.
- Conecta a chave USB ou NFC, define um PIN e toca o sensor para concluir o registro.
Como gerenciar e priorizar métodos de autenticação no portal
Em Proteção → Métodos de autenticação → Políticas, o administrador controla quais métodos estão disponíveis por grupo. A aba “Configurações de registro” permite definir o método padrão que será solicitado no primeiro registro. É possível também auditar quais métodos cada usuário tem registrado em Usuários → selecionar usuário → Métodos de autenticação.
Habilitar MFA por usuário individual (per-user): passo a passo completo
Localizar a tela de MFA por usuário no portal legado
- Acesse entra.microsoft.com → Identidade → Usuários → Todos os usuários.
- Clique em “Autenticação multifator por usuário” no menu superior. Isso abrirá o portal legado em uma nova aba (account.activedirectory.windowsazure.com).
Alterar o estado do usuário: Desabilitado → Habilitado → Imposto
- Desabilitado: MFA não exigido. Estado padrão.
- Habilitado: usuário é solicitado a registrar MFA no próximo login, mas ainda pode pular temporariamente.
- Imposto: MFA obrigatório em todo login, sem opção de pular. Senhas de aplicativo são geradas automaticamente para apps que não suportam MFA moderno.
Selecione um ou mais usuários na lista, clique em “Habilitar” ou “Impor” no painel lateral e confirme. A mudança é imediata. Lembre-se: misturar per-user MFA com Acesso Condicional gera comportamentos imprevisíveis — escolha um modelo e mantenha consistência.
Configurações avançadas de MFA no Entra ID
Número de correspondência (number matching) e contexto adicional: como ativar
O number matching combate ataques de MFA fatigue (bombardeamento de notificações push para forçar aprovação acidental). Com ele ativo, o usuário precisa digitar no app Authenticator o número exibido na tela de login — uma aprovação cega não é mais possível. O contexto adicional exibe o nome do aplicativo e a localização geográfica na notificação push, aumentando a consciência situacional do usuário.
Para ativar: Proteção → Métodos de autenticação → Microsoft Authenticator → aba Configurar → habilite “Número de correspondência” e “Mostrar contexto de aplicativo”. Ambas as configurações são gratuitas e recomendadas para todos os tenants. Quem está iniciando a carreira em cibersegurança defensiva com ferramentas Microsoft deve conhecer esses controles a fundo, pois são cada vez mais cobrados em provas de certificação e auditorias.
Configurar IPs confiáveis e locais nomeados para isenção de MFA
Locais nomeados (Named Locations) permitem definir intervalos de IP ou países como confiáveis, possibilitando isentar usuários de MFA quando acessam de dentro da rede corporativa. Para configurar:
- Acesse Proteção → Acesso Condicional → Locais nomeados.
- Clique em “Novo local de intervalos de IP”, insira os blocos CIDR da sua rede e marque como “Marcar como local confiável”.
- Na política de Acesso Condicional, vá em Condições → Localizações → inclua “Qualquer localização” e exclua “Todos os locais confiáveis”. Assim, MFA será exigido apenas para acessos externos.
Essa configuração reduz atrito para usuários internos sem abrir mão da proteção para acessos remotos. Para ambientes de infraestrutura em nuvem como serviço, onde não há perímetro físico definido, avalie com cuidado quais IPs realmente merecem esse nível de confiança — VPNs corporativas são candidatas naturais, mas devem ter seus próprios controles de segurança.
Com Security Defaults, Acesso Condicional bem configurado, métodos de autenticação modernos e os controles avançados de number matching e locais nomeados ativos, o MFA no Microsoft Entra ID passa de uma simples caixa de conformidade para uma camada de defesa real e eficaz. Profissionais que dominam essa configuração têm vantagem competitiva clara — seja para atuar em SOC, administrar ambientes Microsoft 365 ou se preparar para certificações como SC-300 e AZ-500. Se você quer aprofundar esses conhecimentos com trilhas estruturadas, vale verificar por onde começar entre um curso de cibersegurança Microsoft e uma certificação oficial para montar o caminho mais eficiente até o mercado.
