Pontos principais
- As exceções de autenticação multifator são uma fonte comum de risco de segurança, mas quase sempre invisível — principalmente em vários ambientes.
- O framework classifica as exceções, detecta cada uma com os Workbooks do Entra e delimita o escopo pelo Acesso Condicional.
- A Graph API e o PowerShell automatizam o rastreamento e a auditoria em múltiplos tenants, com apoio de uma cadência periódica de revisão e de um registro de governança.
- O recurso Skip Login MFA do NinjaOne reduz solicitações redundantes para os usuários sem enfraquecer a aplicação do MFA.
A autenticação multifator (MFA) é um dos pilares da segurança de identidade, mas as exceções — às vezes necessárias — viram riscos silenciosos quando ninguém as acompanha, sobretudo entre tenants. Sem uma forma clara de monitorar exceções de MFA, essas exclusões se transformam em falhas de segurança duradouras.
Este guia apresenta uma camada de governança que MSPs podem construir sobre as ferramentas de identidade que já usam, para fechar essas lacunas de visibilidade e manter mais controle em todos os tenants.
Prefere acompanhar em vídeo? Assista a Como monitorar exceções de MFA entre tenants sem perder o controle para um tutorial guiado.
Componentes e métodos essenciais
Cada exceção de MFA é um elo fraco em potencial. A ideia é controlar esses riscos antes que saiam do controle. Veja a seguir um framework estruturado para identificar, aplicar e gerenciar exceções de MFA sem perder o controle.
A. Defina categorias de exceção de MFA e critérios de uso
Antes de monitorar ou aplicar qualquer coisa, defina o que conta como exceção e em que condições ela é permitida. Entre os tipos mais comuns, estão:
Contas de emergência (break-glass)
Feitas apenas para indisponibilidades ou bloqueios de acesso. Essas contas ignoram o MFA para garantir acesso emergencial.
Conectores ou integrações de aplicativos legados
Aplicativos antigos que não suportam protocolos de autenticação modernos. Podem exigir exclusões temporárias de MFA.
Exclusões administrativas durante migrações
Exclusões temporárias para administradores que executam operações em massa ou transições de tenant.
Identidades de convidados externos confiáveis
Usuários convidados de tenants externos confiáveis, em que a aplicação do MFA fica a cargo do próprio IdP (provedor de identidade).
Dica: para reduzir exceções de longa duração, defina quem pode aprovar cada tipo e estabeleça um prazo ou ciclo de revisão.
B. Identifique exceções com os Workbooks do Microsoft Entra
Com os tipos de exceção definidos, o próximo passo é a visibilidade: descobrir onde as exceções existem.
Use o workbook MFA Gaps para:
- detectar contas que acessam recursos sem MFA;
- visualizar lacunas no Acesso Condicional, nos Padrões de Segurança e nas configurações de MFA por usuário;
- executar a análise por tenant e expor aplicações inconsistentes.
C. Aplique políticas de Acesso Condicional com escopo definido
Identificadas as exceções, é hora de aplicá-las. Use as exclusões do Acesso Condicional do Microsoft Entra com precisão. Veja algumas práticas que dá para adaptar:
- Minimize o uso de regras do tipo “excluir usuários específicos”.
- Permita exclusões apenas para contas break-glass ou aplicativos legados aprovados.
- Exija autenticação privilegiada em uma estação de trabalho segura para os usuários excluídos.
D. Monitore o status do MFA de forma programática
O acompanhamento manual não escala e abre espaço para erros. Use automação para monitorar a conformidade de MFA entre usuários e tenants. Algumas ferramentas úteis:
Microsoft Graph API
Connect-MgGraph -Scopes "User.Read.All"Get-MgUserAuthenticationMethod -UserId "[email protected]" |Select-Object Id, @{Name="MethodType";Expression={$_.AdditionalProperties["@odata.type"]}} |
Observação: substitua “[email protected]” pelo endereço de e-mail real do usuário que quer verificar.
Esse comando mostra quais métodos de autenticação o usuário configurou, o que facilita confirmar se o MFA está corretamente configurado e ativo.
Scripts do PowerShell
Extraia o status de registro e aplicação do MFA por usuário em tempo real. Isso dá base para uma auditoria mais ampla de quem está em conformidade e quem não está.
E. Automatize a extração de exceções em múltiplos tenants
Com vários tenants sob gestão, as verificações manuais logo ficam inviáveis. Para ganhar escala, automatize a coleta das políticas de Acesso Condicional que excluem usuários (exceções de MFA) em um único relatório.
Veja um script do PowerShell que pode usar. Ele se conecta a cada tenant, encontra as políticas com exclusões, converte IDs de usuário em nomes e exporta tudo para um arquivo CSV para revisão.
Pré-requisitos:
- Microsoft Graph PowerShell SDK instalado.
- Escopos delegados com consentimento de administrador: Policy.Read.All e Directory.Read.All.
- Sua conta precisa ter acesso a cada tenant.
- IDs de tenant reais (GUIDs) de todos os tenants que vai analisar.
$TenantIds = @("00000000-0000-0000-0000-000000000000","11111111-1111-1111-1111-111111111111")$all = foreach ($tid in $TenantIds) {Connect-MgGraph -TenantId $tid -Scopes "Policy.Read.All","Directory.Read.All" | Out-NullGet-MgIdentityConditionalAccessPolicy -All |Where-Object { $_.Conditions.Users.ExcludeUsers.Count -gt 0 } |ForEach-Object {$p = $_foreach ($id in $p.Conditions.Users.ExcludeUsers) {$u = Get-MgUser -UserId $id -Property UserPrincipalName,DisplayName -ErrorAction SilentlyContinue[pscustomobject]@{TenantId = $tidPolicyName = $p.DisplayNamePolicyId = $p.IdExcludedUserId = $idExcludedUPN = $u.UserPrincipalNameExcludedDisplayName = $u.DisplayName}}}Disconnect-MgGraph | Out-Null}$all | Format-Table -AutoSize$all | Export-Csv ".\CA_Exclusions_Multi_$(Get-Date -Format yyyy-MM-dd_HHmm).csv" -NoTypeInformation -Encoding UTF8 |
Observações:
- Substitua os GUIDs de exemplo em $TenantIds pelos seus IDs de tenant reais. Eles ficam em Entra ID > Propriedades do tenant, ou podem ser obtidos com:
Get-MgOrganization | Select Id, DisplayName
- Se os campos UPN ou DisplayName aparecerem em branco, o usuário pode ter sido excluído ou sua conta não tem acesso de leitura naquele tenant.
- O CSV exportado inclui TenantId, PolicyName, PolicyId, ExcludedUserId, ExcludedUPN e ExcludedDisplayName para auditoria e revisão.
O script entrega uma visão completa das exceções de MFA de alto risco em todos os tenants, em um só lugar, o que facilita identificar padrões e agir rápido.
Se já gerencia os endpoints dos clientes no NinjaOne, dá para agendar esse script pela biblioteca de scripts do NinjaOne, para que rode automaticamente em todos os tenants em vez de ser disparado na mão.
F. Crie um cronograma de revisão e rotação
Garanta que exclusões temporárias não virem vulnerabilidades permanentes: defina uma cadência de revisão.
O que fazer
- Programe revisões mensais ou trimestrais.
- Configure expiração automática ou alertas quando a data se aproximar.
- Exija nova aprovação para renovar.
Dica: use o Microsoft Planner ou o Power Automate para os lembretes.
G. Mantenha um registro central de governança
Por fim, documente tudo em um único log oficial, para sustentar auditabilidade e responsabilização.
O que documentar
- Nome do tenant
- Usuários excluídos
- Título da política
- Data de inclusão
- Data de expiração/revisão
- Observações do revisor
Dica: guarde esse registro em um local seguro, integrado ao PSA ou ao M365, para acompanhar a conformidade de forma contínua.
Se a documentação dos clientes já fica no NinjaOne, esse registro também pode ficar lá, vinculado aos mesmos dados que já mantém.
Tabela-resumo de boas práticas
Cada componente do framework acima tem um papel específico para manter as exceções de MFA sob controle e com responsáveis definidos. A tabela abaixo mostra para que serve cada elemento e o valor que entrega. Use como mapa de consulta rápida:
| Componente | Finalidade/valor |
| Categorias de exceção de MFA | Esclarecem a intenção e o escopo das exclusões |
| Workbook MFA Gaps | Identifica aplicação frágil entre identidades |
| Segmentação do Acesso Condicional | Limita o risco com exclusões de escopo restrito |
| Auditoria via Graph API | Permite analisar a aplicação usuário a usuário |
| Auditoria por script em múltiplos tenants | Escala o relatório de exceções para todos os clientes gerenciados |
| Cadência de revisão programada | Reduz falhas de supervisão e riscos de acesso expirado |
| Registro de governança | Garante prontidão para auditoria e responsabilização |
Exemplo de ponto de automação
Agora, vamos colocar o framework em prática. Esta seção descreve um fluxo de trabalho repetível para revisar exceções de MFA com automação. Use como referência na execução.
Fluxo de revisão de exceções de MFA
1. Use o workbook MFA Gaps do Microsoft Entra todo mês.
Identifique logins sem autenticação ou isentos de MFA. Esse costuma ser o primeiro sinal de que algo precisa de revisão.
2. Execute um script do PowerShell para extrair as exclusões das políticas de Acesso Condicional de todos os clientes.
Obtenha dados em tempo real sobre quem está fora da aplicação do MFA.
3. Revise as justificativas das exceções no registro de governança.
Compare as exclusões com as aprovações documentadas.
4. Alerte ou expire exceções não utilizadas automaticamente, por script ou política.
Isso força a limpeza e reduz exceções de longa duração.
5. Compartilhe os achados nas QBRs com o cliente, como parte da revisão de gerenciamento de riscos de identidade.
Isso acrescenta responsabilização e transparência aos seus relatórios.
Monitore exceções de MFA para reduzir riscos e falhas de supervisão
Exceções de MFA podem ser necessárias, mas nunca devem passar despercebidas. Entender sua finalidade e seus riscos deixa claro por que acompanhá-las importa. Este guia apresentou os componentes e métodos essenciais para isso, além de boas práticas, fluxos de trabalho e como NinjaOne apoia a automação e a governança.
Ao definir políticas de uso, automatizar a detecção e exigir revisões das exceções, MSPs mantêm a segurança sem bloquear fluxos de trabalho legítimos.
Temas relacionados:
- O que é autenticação multifator (MFA)?
- Como configurar a autenticação multifator (MFA) no Office 365
- O que é autenticação de dois fatores (2FA)?
Veja como NinjaOne ajuda a gerenciar identidade e acesso junto com todas as outras tarefas de endpoints, em uma só plataforma.
Guia de início rápido
NinjaOne oferece o recurso “Skip Login MFA”, que ajuda a gerenciar exceções de autenticação multifator (MFA) entre tenants:
Principais recursos:
- Ignora de forma condicional o MFA de login do NinjaOne quando há SSO em uso
- No momento, suporta os provedores de identidade Azure (Entra ID) e Okta
- Evita que os usuários precisem inserir o MFA duas vezes
- Disponível para administradores de sistema, técnicos e usuários finais
Observações importantes:
- NÃO dispensa o MFA em tarefas administrativas dentro do NinjaOne
- Os usuários precisam configurar o MFA do NinjaOne no primeiro login
- Funciona verificando na resposta SAML se o MFA já foi realizado
O sistema procura atributos específicos de MFA do Azure e do Okta:
- Azure: verifica as referências de método de autenticação
- Okta: procura valores de atributo específicos, como “mfa”
O recurso ajuda a manter a segurança e, ao mesmo tempo, melhora a experiência do usuário ao evitar solicitações de MFA redundantes entre sistemas diferentes.
