Federar um domínio Microsoft 365 (WS-Federation)

Com a federação, as pessoas de um domínio personalizado do Microsoft Entra ID entram no Microsoft 365 com a passkey, com o telemóvel ou com a sessão única deste serviço. O Entra continua a ser o diretório do Microsoft 365. O comportamento do lado da Microsoft vem da documentação da Microsoft: teste primeiro num inquilino de teste.

Regra de segurança mais importante

Quem pode alterar âncoras pode entrar no Microsoft 365 como qualquer utilizador do domínio federado. Mantenha todas as funções Microsoft privilegiadas em contas *.onmicrosoft.com, nunca no domínio federado, e mantenha pequeno o grupo de administradores.

Preparar o lado Microsoft

1. Dois Global Administrators de emergência *.onmicrosoft.com, com chave FIDO2, excluídos de todas as políticas de acesso condicional.
2. Um domínio personalizado verificado (recomendamos um subdomínio, por exemplo m365.exemplo.pt). Não o defina como predefinido e não federe o domínio pai.
3. Utilizadores de teste com UPN no domínio e, aqui, pessoas com o mesmo email e uma passkey.

Preparar este serviço

1. A chave de assinatura WS-Federation da organização é criada pela equipa de operação. Sem ela: «A chave de assinatura do Microsoft 365 não está configurada para esta organização. Peça ao operador que a adicione.»
2. Uma regra de política que permita federation.authorize para wsfed: seguido do identificador da federação.
3. Em «Gerir» › «Microsoft 365», escolha «Nova federação», indique o «Domínio federado» e o nome, e escolha «Guardar federação». Não altere o «Método de autenticação (avançado)». O domínio não muda depois.
4. Crie as âncoras. Ver Âncoras Microsoft 365.

O script de configuração

1. Escolha «Descarregar script de configuração» (authguard-m365-<domínio>.ps1). Descarregue-o de novo depois de qualquer alteração.
2. Leia-o inteiro e execute-o no PowerShell 7 como Global Administrator *.onmicrosoft.com. O script grava os ImmutableID, federa o domínio e mostra o tipo de autenticação, que tem de ser Federated.

Acesso condicional

Use "Require multifactor authentication" para as pessoas do domínio federado. A força "Phishing-resistant MFA" do Entra não aceita a indicação de um fornecedor federado.

Voltar atrás

Como Global Administrator *.onmicrosoft.com: Update-MgDomain -DomainId 'm365.exemplo.pt' -AuthenticationType 'Managed'. As pessoas voltam a entrar na Microsoft e precisam de uma credencial Microsoft. O comando completo está em comentário no fim do script.

Não suportado

WS-Trust (clientes antigos e entrada no Windows em dispositivos associados ao Entra para pessoas federadas) e o FederationMetadata.xml.