Habilitación de la autenticación multifactor en Azure Active Directory B2C

Antes de empezar, use el selector Elegir un tipo de directiva en la parte superior de esta página para elegir el tipo de directiva que está configurando. Azure Active Directory B2C ofrece dos métodos para definir cómo interactúan los usuarios con las aplicaciones: a través de flujos de usuario predefinidos o mediante directivas personalizadas totalmente configurables. Los pasos necesarios en este artículo son diferentes para cada método.

Azure Active Directory B2C (Azure AD B2C) se integra directamente con la autenticación multifactor de Microsoft Entra para que pueda agregar una segunda capa de seguridad para registrar e iniciar sesión en las aplicaciones. Si ya ha creado flujos de usuario de registro e inicio de sesión, puede habilitar la autenticación multifactor.

Con el uso de esta funcionalidad, las aplicaciones pueden manejar múltiples escenarios, como:

• Requerir autenticación multifactor para acceder a una aplicación, pero no requerir que acceda a otra. Por ejemplo, un cliente puede iniciar sesión en una aplicación de seguro automático con una cuenta social o local, pero debe comprobar el número de teléfono antes de acceder a la aplicación de seguro de hogar registrada en el mismo directorio.
• Requerir autenticación multifactor para acceder a una aplicación en general, pero no requerir que acceda a las partes confidenciales dentro de ella. Por ejemplo, un cliente puede iniciar sesión en una aplicación bancaria con una cuenta social o local y comprobar el saldo de la cuenta, pero debe comprobar el número de teléfono antes de intentar una transferencia bancaria.

Prerrequisitos

Métodos de comprobación

El acceso condicional puede o no suponer un desafío de MFA para los usuarios en función las decisiones de configuración que pueda tomar como administrador. Los métodos de la autenticación multifactor son:

• Correo electrónico : durante el inicio de sesión, se envía un correo electrónico de verificación que contiene una contraseña única (OTP) al usuario. El usuario proporciona el código OTP que se envió en el correo electrónico a la aplicación.
• SMS o llamada telefónica : durante el primer registro o inicio de sesión, se pide al usuario que proporcione y compruebe un número de teléfono. Durante los inicios de sesión posteriores, se le pedirá al usuario que seleccione la opción Enviar código o Llamarme . Dependiendo de la elección del usuario, se envía un mensaje de texto o se realiza una llamada telefónica al número de teléfono comprobado para identificar al usuario. El usuario proporciona el código OTP enviado a través de un mensaje de texto o aprueba la llamada telefónica.
• Solo llamada telefónica : funciona de la misma manera que la opción sms o llamada telefónica, pero solo se realiza una llamada telefónica.
• Solo SMS: funciona de la misma manera que la opción sms o llamada telefónica, pero solo se envía un mensaje de texto.
• Aplicación autenticación - TOTP - el usuario debe instalar una aplicación de autenticación que admita la verificación de clave única basada en tiempo (TOTP), como la aplicación Microsoft Authenticator, en un dispositivo que posee. Durante el primer registro o inicio de sesión, el usuario escanea un código QR o escribe un código manualmente mediante la aplicación authenticator. Durante los inicios de sesión posteriores, el usuario escribe el código TOTP que aparece en la aplicación autenticadora. Vea cómo configurar la aplicación Microsoft Authenticator.

Establecimiento de la autenticación multifactor

Inscribir un usuario en TOTP con una aplicación autenticadora (para usuarios finales)

Cuando una aplicación de Azure AD B2C usa la opción TOTP para MFA, los usuarios finales deben usar una aplicación autenticadora para generar códigos TOTP. Los usuarios pueden usar la aplicación Microsoft Authenticator o cualquier otra aplicación autenticadora que admita la comprobación de TOTP. Si usa la aplicación Microsoft Authenticator, un administrador del sistema de Azure AD B2C debe aconsejar a los usuarios finales que configuren la aplicación Microsoft Authenticator mediante los pasos siguientes:

1. Descargue e instale la aplicación Microsoft Authenticator en su dispositivo móvil Android o iOS.
2. Abra la aplicación de Azure AD B2C que requiere que use TOTP para MFA, por ejemplo, contoso webapp y, a continuación, inicie sesión o regístrese escribiendo la información necesaria.
3. Si se le pide que inscriba su cuenta examinando un código QR mediante una aplicación autenticadora, abra la aplicación Microsoft Authenticator en el teléfono y, en la esquina superior derecha, seleccione el icono de menú de 3 puntos (para Android) o + el icono de menú (para iOS).
4. Seleccione + Agregar cuenta.
5. Seleccione Otra cuenta (Google, Facebook, etc.) y, a continuación, examine el código QR que se muestra en la aplicación de Azure AD B2C para inscribir su cuenta. Si no puede escanear el código QR, puede agregar la cuenta manualmente:
   1. En la aplicación Microsoft Authenticator en el teléfono, seleccione O ESCRIBA CÓDIGO MANUALMENTE.
   2. En la aplicación Azure AD B2C, seleccione ¿Sigue teniendo problemas?. Esto muestra el nombre de la cuenta y el secreto.
   3. Escriba el nombre de la cuenta y el secreto en la aplicación Microsoft Authenticator y, a continuación, seleccione FINALIZAR.
6. En la aplicación Azure AD B2C, seleccione Continuar.
7. En Escriba el código, escriba el código que aparece en la aplicación Microsoft Authenticator.
8. Seleccione Comprobar.
9. Durante el inicio de sesión posterior en la aplicación, escriba el código que aparece en la aplicación Microsoft Authenticator.

Más información sobre los tokens de software OATH

Eliminar la inscripción del autenticador TOTP de un usuario (para administradores del sistema)

En Azure AD B2C, puede eliminar la inscripción de aplicaciones de autenticación TOTP de un usuario. A continuación, el usuario se verá obligado a volver a inscribir su cuenta para volver a usar la autenticación TOTP. Para eliminar la inscripción TOTP de un usuario, puede usar el portal de Azure o la API de Microsoft Graph.

Eliminación de la inscripción de aplicaciones autenticadoras TOTP mediante Azure Portal

1. Inicie sesión en Azure Portal.
2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.
3. En el menú izquierdo, seleccione Usuarios.
4. Busque y seleccione el usuario para el que desea eliminar la inscripción de la aplicación autenticadora TOTP.
5. En el menú izquierdo, seleccione Métodos de autenticación.
6. En Métodos de autenticación utilizables, busque Token OATH de software y, a continuación, seleccione el menú de puntos suspensivos situado junto a él. Si no ve esta interfaz, seleccione la opción "Cambiar a la nueva experiencia de métodos de autenticación de usuario! Haga clic aquí para usarlo ahora" para cambiar a la nueva experiencia de métodos de autenticación.
7. Seleccione Eliminar y Sí para confirmar.

Eliminación de la inscripción de aplicaciones autenticadoras TOTP mediante Microsoft Graph API

Obtenga información sobre cómo eliminar el método de autenticación de token OATH de software de un usuario mediante Microsoft Graph API.

Planes de tarifa de SMS por país o región

En la tabla siguiente se proporcionan detalles sobre los distintos planes de tarifa para los servicios de autenticación basados en SMS en varios países o regiones. Para más información sobre los precios, consulte Precios de Azure AD B2C.

SMS es una característica de complemento y requiere una suscripción vinculada. Si la suscripción expira o se cancela, los usuarios finales ya no podrán autenticarse mediante SMS, lo que podría impedir que inicien sesión en función de la directiva de MFA.