Addio al portale legacy MFA e SSPR: come prepararsi al nuovo Authentication Methods Policy di Microsoft Entra ID

Per molti anni MFA e SSPR hanno svolto un ruolo fondamentale nella protezione degli accessi utente, ma sono stati progettati come strumenti separati, ciascuno con impostazioni e portali differenti. Con un panorama di minacce sempre più complesso e attacchi basati sulle credenziali in costante crescita, questa frammentazione è diventata un limite.

Per questo Microsoft ha introdotto Authentication Methods Policy, un nuovo modello che unifica la gestione di tutti i metodi di autenticazione in un’unica interfaccia, più chiara, più sicura e allineata agli standard moderni come passwordless, FIDO2 e Passkey.
Il risultato è un sistema più coerente, più flessibile e più facile da amministrare, concepito per supportare approcci Zero Trust e ridurre la superficie d’attacco.

Cosa introduce il nuovo Authentication Methods Policy

La nuova policy rappresenta un’evoluzione significativa rispetto alle impostazioni legacy. Tutte le configurazioni legate ai metodi di autenticazione si trovano ora in un unico punto del portale Entra ID, da cui è possibile:

• abilitare o disabilitare i vari metodi in modo granulare;
• assegnare criteri diversi a gruppi o reparti con necessità specifiche;
• adottare metodi moderni e resistenti al phishing, come FIDO2, Passkey, TAP o Authenticator in modalità passwordless;
• sfruttare la registrazione unificata per MFA e SSPR, riducendo il numero di passaggi per gli utenti.

Questa centralizzazione permette di evitare configurazioni duplicate, ridurre gli errori e ottenere un controllo più efficace sull’intero ciclo di vita delle identità.

Sebbene la data indicata da Microsoft sia già stata superata, molti tenant risultano ancora in stato di pre-migrazione. Questo significa che, da un giorno all’altro, la dismissione delle policy legacy potrebbe diventare effettiva lato server, senza un avviso puntuale e senza possibilità di fallback.

Quando questo accadrà, solo i metodi configurati nel nuovo Authentication Methods Policy verranno considerati validi. Tutto ciò che non è stato migrato verrà ignorato. 

Le conseguenze possono essere rilevanti:

• utenti impossibilitati ad autenticarsi perché i loro metodi non sono più riconosciuti;
• metodi meno sicuri, come SMS e chiamate vocali, che possono smettere di funzionare o essere disattivati;
• account amministrativi a rischio lockout se i loro metodi MFA non sono stati trasferiti nel nuovo modello;
• impossibilità di modificare o intervenire sulle impostazioni legacy, ormai non più supportate.

Non è un rischio teorico: è un cambiamento strutturale già in corso.

I vantaggi della migrazione

Guardando oltre l’aspetto obbligatorio, la migrazione porta con sé benefici concreti, sia dal punto di vista della sicurezza sia dell’esperienza utente e dell’amministrazione.

• Maggiore sicurezza: metodi moderni come FIDO2, Passkey, Microsoft Authenticator o Temporary Access Pass offrono una protezione molto superiore, riducendo drasticamente il rischio di compromissione degli account e contrastando attacchi basati su phishing e furto di credenziali.
• Un’esperienza più semplice per gli utenti: la registrazione diventa unica e valida sia per MFA che per il reset della password. Meno passaggi da seguire, meno confusione e una maggiore predisposizione degli utenti ad adottare metodi più sicuri.
• Gestione più ordinata per gli amministratori: tutte le impostazioni sono centralizzate in un unico pannello del portale Entra ID. Questo facilita controlli, audit, modifiche e l’applicazione di policy coerenti, senza la complessità delle vecchie configurazioni distribuite.

La migrazione è un passo naturale verso una gestione dell’identità più moderna, sostenibile e in linea con le esigenze di sicurezza attuali.

La dismissione delle vecchie policy non è solo un cambio di strumento, ma un passo verso un modello di autenticazione più sicuro, coerente e pronto a supportare una strategia Zero Trust. In un contesto in cui il furto di credenziali è ancora uno dei vettori di attacco più comuni, adottare metodi più robusti non è un optional: è un’esigenza strategica.

Prepararsi per tempo significa proteggere l’operatività, migliorare la governance e offrire agli utenti un’esperienza più semplice e sicura.

Microsoft offre una procedura guidata pensata appositamente per accompagnare gli amministratori nel consolidamento delle impostazioni legacy nei nuovi criteri. In alternativa è possibile procedere manualmente, seguendo un percorso più personalizzato.
In entrambi i casi, un approccio ordinato aiuta a evitare interruzioni.

1. Accedi al Microsoft Entra Admin Center con un account amministrativo.
2. Vai su Entra ID → Metodi di autenticazione → Criteri.
3. Avvia la guida alla migrazione oppure replica manualmente le impostazioni legacy nel nuovo Authentication Methods Policy.
4. Verifica che i metodi moderni come Authenticator, FIDO2, Passkey o TAP siano abilitati e assegnati agli utenti corretti.
5. Testa gli account critici, in particolare quelli amministrativi, per assicurarti che possano completare l’MFA senza problemi.
6. Una volta confermata la configurazione, imposta lo stato su “Migrazione completata”, mantenendo la possibilità di tornare temporaneamente allo stato “In corso” per eventuali aggiustamenti.