MFA no Microsoft 365 – Guia de Implementação

✅ NIS2 / Decreto-Lei n.º 125/2025: A implementação de MFA é considerada uma medida técnica obrigatória para entidades abrangidas pela diretiva NIS2 em Portugal. A ausência de MFA em acessos administrativos pode constituir incumprimento regulatório.

📋 Índice

1. Métodos de MFA Disponíveis no M365
2. Security Defaults — Ativação Rápida
3. MFA por Utilizador (Per-User MFA)
4. Acesso Condicional — Implementação Avançada
5. Configurar o Microsoft Authenticator
6. Forçar Registo de MFA nos Utilizadores
7. Gestão de Exceções e Exclusões
8. Monitorizar e Auditar MFA
9. Resolução de Problemas Comuns

⚠️ SMS e chamada de voz: Vulneráveis a ataques de SIM swapping e interceção SS7. A Microsoft recomenda evitar estes métodos e migrar para o Authenticator assim que possível. Usar apenas como método de fallback ou em utilizadores sem smartphone.

🛑 Incompatibilidade: Os Security Defaults não podem coexistir com políticas de Acesso Condicional. Se o tenant já tem políticas de Acesso Condicional ativas, os Security Defaults estarão desativados e não devem ser ativados — usar o Acesso Condicional para gerir o MFA (Secção 4).

⚠️ Nota: A Microsoft considera o Per-User MFA uma abordagem legada e recomenda o Acesso Condicional para novos deployments. Contudo, é válido para tenants sem licença Azure AD P1/P2.

PowerShell — MSOnline

# Instalar módulo se necessário

Install-Module MSOnline -Force

Connect-MsolService

# Ativar MFA para um utilizador específico

$mfa = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement

$mfa.RelyingParty = “*”

$mfa.State = “Enabled”

Set-MsolUser -UserPrincipalName [email protected] -StrongAuthenticationRequirements $mfa

# Ativar MFA para TODOS os utilizadores do tenant

Get-MsolUser -All | ForEach-Object {

    Set-MsolUser -UserPrincipalName $_.UserPrincipalName -StrongAuthenticationRequirements $mfa

}

# Verificar estado de MFA de todos os utilizadores

Get-MsolUser -All | Select DisplayName, UserPrincipalName, @{N=”MFA”;E={$_.StrongAuthenticationRequirements.State}} | Sort MFA

PowerShell — Microsoft Graph

# Listar todas as políticas de Acesso Condicional

Connect-MgGraph -Scopes “Policy.Read.All”

Get-MgIdentityConditionalAccessPolicy | Select DisplayName, State, CreatedDateTime | Sort DisplayName

# Ver detalhes de uma política específica

Get-MgIdentityConditionalAccessPolicy | Where-Object {$_.DisplayName -like “*MFA*”} | Format-List

PowerShell — Microsoft Graph

# Verificar configuração do Number Matching no Authenticator

Connect-MgGraph -Scopes “Policy.Read.All”

Get-MgPolicyAuthenticationMethodPolicy | Select-Object -ExpandProperty AuthenticationMethodConfigurations | Where-Object {$_.Id -eq “MicrosoftAuthenticator”} | Format-List

PowerShell — Microsoft Graph

# Utilizadores SEM qualquer método MFA registado

Connect-MgGraph -Scopes “UserAuthenticationMethod.Read.All”, “User.Read.All”

Get-MgReportAuthenticationMethodUserRegistrationDetail | Where-Object {

    $_.IsMfaRegistered -eq $false

} | Select UserPrincipalName, IsMfaRegistered, IsMfaCapable, DefaultMfaMethod

# Exportar relatório completo para CSV

Get-MgReportAuthenticationMethodUserRegistrationDetail | Select UserPrincipalName, IsMfaRegistered, IsMfaCapable, DefaultMfaMethod | Export-Csv “MFA_Report.csv” -NoTypeInformation -Encoding UTF8

🔐 Boas práticas para a conta de break-glass:

• Usar um domínio *.onmicrosoft.com (não federado, não afetado por problemas de ADFS/Entra)
• Password longa e aleatória (30+ caracteres) — guardar em cofre físico ou gestor de passwords partilhado
• Excluir explicitamente de todas as políticas de Acesso Condicional
• Monitorizar os inícios de sessão desta conta — qualquer acesso deve gerar alerta
• Testar periodicamente (trimestralmente) para confirmar que o acesso funciona
• Não usar no dia-a-dia — apenas em situações de emergência real

Microsoft Entra — Acesso Condicional

# Na política de Acesso Condicional → Assignments → Users

# Separador “Exclude” → adicionar:

– Conta(s) de break-glass (por UPN direto)

– Grupo “CA-Exclude-MFA” (para gerir exceções temporárias)

– Contas de serviço sem interatividade (usar Managed Identity em alternativa)

PowerShell — Microsoft Graph

# Inícios de sessão sem MFA nas últimas 24h

Connect-MgGraph -Scopes “AuditLog.Read.All”

$start = (Get-Date).AddDays(-1).ToString(“yyyy-MM-ddTHH:mm:ssZ”)

Get-MgAuditLogSignIn -Filter “createdDateTime ge $start and authenticationRequirement eq ‘singleFactorAuthentication'” | Select UserPrincipalName, CreatedDateTime, AppDisplayName, IpAddress, Status

# Falhas de MFA por utilizador

Get-MgAuditLogSignIn -Filter “createdDateTime ge $start and status/errorCode ne 0 and authenticationRequirement eq ‘multiFactorAuthentication'” | Select UserPrincipalName, CreatedDateTime, Status, IpAddress | Sort CreatedDateTime -Descending

Problema 1
Utilizador perdeu o telemóvel / não tem acesso ao Authenticator

O utilizador não consegue autenticar porque o único método registado era a app Authenticator no telemóvel perdido.

✅ Solução: O administrador pode gerar um Temporary Access Pass (TAP) — código de uso único com prazo definido — que permite ao utilizador autenticar-se sem MFA temporariamente e registar um novo método.

Entra → Utilizadores → [utilizador] → Métodos de autenticação → + Adicionar método de autenticação → Temporary Access Pass

Problema 2
Aplicações legacy (IMAP, POP3, SMTP básico) deixam de funcionar após ativar MFA

Clientes de email antigos ou aplicações que usam autenticação básica (username/password) não suportam o fluxo de MFA OAuth 2.0 e são bloqueados.

✅ Solução: Migrar para clientes que suportam Modern Auth (Outlook 2016+, aplicações que usam OAuth 2.0). Para aplicações que não podem ser atualizadas, criar App Passwords (passwords de aplicação) em aka.ms/MFASetup → Segurança adicional. Nota: App Passwords não estão disponíveis com Security Defaults ou Acesso Condicional — apenas com Per-User MFA.

Problema 3
O utilizador recebe repetidas notificações MFA que não solicitou (MFA Fatigue Attack)

Um atacante que tenha obtido a password está a tentar o acesso repetidamente, gerando notificações push no telemóvel do utilizador na esperança de que este aprove por engano.

✅ Solução imediata: O utilizador não deve aprovar as notificações — reportar ao administrador. O administrador deve revogar todas as sessões ativas e forçar alteração de password.

Prevenção: Ativar Number Matching no Authenticator (ver Secção 5.2) e Additional Context (mostra a localização e app que pede o MFA). Considerar migrar para FIDO2 (resistente a phishing).

Problema 4
Administrador ficou sem acesso ao tenant (sem MFA configurado e Security Defaults ativado)

O administrador ativou os Security Defaults sem ter configurado MFA previamente e agora não consegue autenticar.

✅ Solução: Se existir conta de break-glass excluída das políticas, usar essa conta para aceder. Caso contrário, contactar o suporte Microsoft — será necessário verificar a identidade do proprietário do tenant para recuperar o acesso.

🔗 Artigos Relacionados no kbase.pt

• Exchange Online — Diagnóstico de Falhas de Email
• Outlook pede password em loop — Modern Auth
• Autodiscover do Outlook a Falhar — Diagnóstico e Resolução
• New Outlook vs Outlook Clássico — Guia Completo
• WebDAV — Microsoft Office bloqueou o acesso ao servidor