Puntos clave
- Las excepciones a la autenticación multifactor son una fuente de riesgo de seguridad habitual, pero casi siempre invisible, sobre todo cuando se gestionan varios entornos.
- El marco de trabajo clasifica las excepciones, las detecta con los Workbooks de Entra y las delimita con precisión mediante el acceso condicional.
- La Graph API y PowerShell automatizan el seguimiento y la auditoría multitenant, con el respaldo de una cadencia de revisión periódica y un registro de gobernanza.
- La función Skip Login MFA de NinjaOne reduce las solicitudes de MFA redundantes para los usuarios sin debilitar su aplicación.
La autenticación multifactor (MFA) es uno de los pilares de la seguridad de identidades, pero las excepciones (aunque a veces sean necesarias) pueden convertirse en riesgos silenciosos si nadie las controla, especialmente cuando hay varios tenants de por medio. Sin una forma clara de hacer seguimiento de las excepciones de MFA, esas exclusiones acaban transformándose con el tiempo en brechas de seguridad permanentes.
Esta guía presenta una capa de gobernanza que los MSP pueden construir sobre sus herramientas de identidad actuales para cerrar esos huecos de visibilidad y mantener un control más firme en todos los tenants.
¿Prefieres verlo explicado en vídeo? Mira Cómo hacer seguimiento de las excepciones de MFA en varios tenants sin perder el control para seguir el tutorial paso a paso.
Componentes y métodos principales
Cada excepción de MFA es un posible punto débil. El objetivo es controlar esos riesgos antes de que se descontrolen. A continuación tienes un marco de trabajo estructurado para identificar, aplicar y gestionar las excepciones de MFA sin perder el control.
A. Define las categorías de excepciones de MFA y los criterios de uso
Antes de hacer seguimiento o aplicar nada, tienes que establecer qué cuenta como excepción y en qué condiciones se permite. Estos son los tipos de excepción más habituales:
Cuentas de emergencia break-glass
Pensadas solo para caídas del servicio o bloqueos de acceso. Estas cuentas omiten la MFA para proporcionar acceso de emergencia.
Conectores o integraciones de aplicaciones heredadas
Aplicaciones antiguas que no admiten protocolos de autenticación modernos. Pueden requerir exclusiones temporales de MFA.
Exclusiones administrativas durante una migración
Exclusiones temporales para administradores que realizan operaciones masivas o transiciones de tenant.
Identidades de invitados externos de confianza
Usuarios invitados de tenants externos de confianza, en los que la aplicación de la MFA la gestiona su propio IdP (proveedor de identidad).
Consejo: para reducir las excepciones que se eternizan, asigna quién puede aprobar cada tipo y establece un plazo o un ciclo de revisión.
B. Identifica las excepciones con los Workbooks de Microsoft Entra
Una vez definidos los tipos de excepción, el siguiente paso es la visibilidad: saber dónde existen esas excepciones.
Usa el workbook MFA Gaps para:
- Detectar cuentas que acceden a recursos sin MFA.
- Visualizar los huecos en el acceso condicional, los valores predeterminados de seguridad y la configuración de MFA por usuario.
- Ejecutarlo por tenant para destapar aplicaciones inconsistentes de la política.
C. Aplica políticas de acceso condicional bien delimitadas
Ya has identificado las excepciones; ahora toca aplicarlas. Utiliza con precisión las exclusiones del acceso condicional de Microsoft Entra. Estas son algunas prácticas que puedes adaptar:
- Reduce al mínimo el uso de reglas del tipo «excluir usuarios específicos».
- Permite exclusiones únicamente para cuentas break-glass o aplicaciones heredadas aprobadas.
- Exige autenticación privilegiada desde una estación de trabajo segura para los usuarios excluidos.
D. Haz seguimiento del estado de la MFA de forma programática
El seguimiento manual no escala y es propenso a errores. Recurre a la automatización para supervisar el cumplimiento de la MFA entre usuarios y tenants. Estas son algunas herramientas que puedes usar:
Microsoft Graph API
Connect-MgGraph -Scopes "User.Read.All"Get-MgUserAuthenticationMethod -UserId "[email protected]" |Select-Object Id, @{Name="MethodType";Expression={$_.AdditionalProperties["@odata.type"]}} |
Nota: sustituye «[email protected]» por la dirección de correo real del usuario que quieras comprobar.
Este comando muestra qué métodos de autenticación tiene configurados un usuario, lo que facilita confirmar si la MFA está bien configurada y activa.
Scripts de PowerShell
Extrae en tiempo real el estado de registro y aplicación de la MFA de cada usuario. Esto facilita una auditoría más amplia de quién cumple y quién no.
E. Automatiza la extracción de excepciones en varios tenants
Cuando gestionas varios tenants, las comprobaciones manuales se vuelven inmanejables enseguida. Para que sea escalable, automatiza la recopilación de las políticas de acceso condicional que excluyen usuarios (excepciones de MFA) en un único informe.
Aquí tienes un script de PowerShell que puedes usar. Se conecta a cada tenant, busca las políticas con exclusiones, convierte los ID de usuario en nombres y exporta todo a un archivo CSV para su revisión.
Requisitos previos:
- Microsoft Graph PowerShell SDK instalado.
- Ámbitos delegados con consentimiento de administrador: Policy.Read.All y Directory.Read.All.
- Tu cuenta debe tener acceso a cada tenant.
- Los Tenant ID reales (GUID) de todos los tenants que vayas a analizar.
$TenantIds = @("00000000-0000-0000-0000-000000000000","11111111-1111-1111-1111-111111111111")$all = foreach ($tid in $TenantIds) {Connect-MgGraph -TenantId $tid -Scopes "Policy.Read.All","Directory.Read.All" | Out-NullGet-MgIdentityConditionalAccessPolicy -All |Where-Object { $_.Conditions.Users.ExcludeUsers.Count -gt 0 } |ForEach-Object {$p = $_foreach ($id in $p.Conditions.Users.ExcludeUsers) {$u = Get-MgUser -UserId $id -Property UserPrincipalName,DisplayName -ErrorAction SilentlyContinue[pscustomobject]@{TenantId = $tidPolicyName = $p.DisplayNamePolicyId = $p.IdExcludedUserId = $idExcludedUPN = $u.UserPrincipalNameExcludedDisplayName = $u.DisplayName}}}Disconnect-MgGraph | Out-Null}$all | Format-Table -AutoSize$all | Export-Csv ".\CA_Exclusions_Multi_$(Get-Date -Format yyyy-MM-dd_HHmm).csv" -NoTypeInformation -Encoding UTF8 |
Notas:
- Sustituye los GUID de ejemplo de $TenantIds por tus Tenant ID reales. Los encontrarás en Entra ID > Propiedades del tenant, o ejecutando:
Get-MgOrganization | Select Id, DisplayName
- Si los campos UPN o DisplayName aparecen vacíos, puede que el usuario se haya eliminado o que tu cuenta no tenga permisos de lectura en ese tenant.
- El CSV exportado incluye TenantId, PolicyName, PolicyId, ExcludedUserId, ExcludedUPN y ExcludedDisplayName para auditoría y revisión.
Este script te da una vista completa de las excepciones de MFA de alto riesgo en todos los tenants y en un mismo sitio, así que detectar patrones y actuar rápido resulta sencillo.
Si ya gestionas los endpoints de tus clientes en NinjaOne, puedes programar este script desde la biblioteca de scripts de NinjaOne para que se ejecute automáticamente en todos los tenants en lugar de lanzarlo a mano.
F. Establece un calendario de revisión y rotación
Evita que las exclusiones temporales se conviertan en vulnerabilidades a largo plazo fijando una cadencia de revisión.
Qué puedes hacer
- Programar revisiones mensuales o trimestrales.
- Caducar automáticamente las excepciones o avisar cuando esté cerca su vencimiento.
- Exigir una nueva aprobación para renovarlas.
Consejo: usa Microsoft Planner o Power Automate para los recordatorios.
G. Mantén un registro central de gobernanza
Por último, documenta todo en un único registro de referencia que facilite la auditoría y la rendición de cuentas.
Qué documentar
- Nombre del tenant
- Usuarios excluidos
- Título de la política
- Fecha de alta
- Fecha de caducidad o de revisión
- Notas del revisor
Consejo: guárdalo en una ubicación segura integrada con tu PSA o en M365 para controlar el cumplimiento de forma continua.
Si la documentación de tus clientes ya está en NinjaOne, este registro también puede vivir ahí y quedar vinculado a los mismos datos que ya mantienes.
Tabla resumen de buenas prácticas
Cada componente del marco anterior cumple una función concreta para mantener las excepciones de MFA bajo control y con responsables claros. La tabla siguiente desglosa para qué sirve cada elemento y qué aporta. Úsala como mapa de consulta rápida:
| Componente | Propósito/valor |
| Categorías de excepciones de MFA | Aclara la intención y el alcance de las exclusiones |
| Workbook MFA Gaps | Identifica dónde se aplica la MFA de forma débil |
| Segmentación del acceso condicional | Limita el riesgo con exclusiones bien delimitadas |
| Auditoría con la Graph API | Permite analizar la aplicación de la MFA usuario por usuario |
| Auditoría por script en varios tenants | Escala los informes de excepciones a todos los clientes gestionados |
| Cadencia de revisión programada | Reduce los descuidos y el riesgo de accesos caducados |
| Registro de gobernanza | Garantiza la preparación para auditorías y la rendición de cuentas |
Ejemplo de punto de contacto con la automatización
Ahora vamos a poner el marco en práctica. Esta sección describe un flujo de trabajo repetible para revisar las excepciones de MFA con ayuda de la automatización. Puedes usarlo como referencia para ejecutarlo.
Flujo de trabajo para revisar excepciones de MFA
1. Usa el workbook MFA Gaps de Microsoft Entra cada mes.
Detecta inicios de sesión sin autenticar o exentos de MFA: suelen ser la primera señal de que algo necesita revisión.
2. Ejecuta un script de PowerShell para extraer las exclusiones de las políticas de acceso condicional de todos tus clientes.
Obtén datos en tiempo real sobre quién está excluido de la aplicación de la MFA.
3. Revisa las justificaciones de las excepciones en el registro de gobernanza.
Contrasta las exclusiones con las aprobaciones documentadas.
4. Avisa o caduca automáticamente las excepciones sin uso mediante script o política.
Obliga a hacer limpieza y reduce las excepciones que se perpetúan.
5. Comparte los hallazgos en las QBR con el cliente como parte de la revisión de riesgos de identidad.
Añade transparencia y responsabilidad a tus informes.
Haz seguimiento de las excepciones de MFA para reducir riesgos y descuidos
Las excepciones de MFA pueden ser necesarias, pero nunca deberían pasar desapercibidas. Entender para qué sirven y qué riesgos implican deja claro lo importante que es controlarlas. Esta guía ha repasado los componentes y métodos principales para hacerlo, junto con buenas prácticas, flujos de trabajo y la forma en que NinjaOne puede ayudarte con la automatización y la gobernanza.
Definiendo políticas de uso, automatizando la detección y obligando a revisar las excepciones, los MSP pueden mantener la seguridad con confianza sin bloquear flujos de trabajo legítimos.
Temas relacionados:
- ¿Qué es la autenticación multifactor (MFA)?
- Cómo configurar la autenticación multifactor (MFA) en Office 365
- ¿Qué es la autenticación en dos pasos (2FA)?
Descubre cómo NinjaOne te ayuda a gestionar identidades y accesos junto con el resto de tareas de endpoints, todo en una sola plataforma.
Guía de inicio rápido
NinjaOne cuenta con una función llamada «Skip Login MFA» que ayuda a gestionar las excepciones de autenticación multifactor (MFA) en varios tenants:
Funciones principales:
- Omite de forma condicional la MFA del inicio de sesión en NinjaOne cuando se usa SSO
- Actualmente admite los proveedores de identidad de Azure (Entra ID) y Okta
- Evita que los usuarios tengan que introducir la MFA dos veces
- Disponible para administradores del sistema, técnicos y usuarios finales
Notas importantes:
- NO anula la MFA en las tareas administrativas dentro de NinjaOne
- Los usuarios deben configurar la MFA de NinjaOne en su primer inicio de sesión
- Funciona comprobando en la respuesta SAML si hay evidencias de que la MFA ya se ha realizado
El sistema busca atributos de MFA concretos de Azure y Okta:
- Azure: comprueba las referencias a los métodos de autenticación
- Okta: busca valores de atributo específicos como «mfa»
Esta función ayuda a mantener la seguridad y, al mismo tiempo, mejora la experiencia del usuario al evitar solicitudes de MFA redundantes en distintos sistemas.
