Triển khai MFA trên Microsoft Entra ID: lộ trình thực tế cho doanh nghiệp
Mật khẩu một mình không còn đủ để bảo vệ tài khoản: mật khẩu có thể bị lộ qua phishing, bị đoán, hoặc bị tái sử dụng từ các dịch vụ khác đã bị rò rỉ. Xác thực đa yếu tố (MFA) thêm một yếu tố thứ hai nên chỉ biết mật khẩu chưa đủ để đăng nhập. Với môi trường Microsoft 365, MFA được quản lý qua Microsoft Entra ID.
Chọn phương thức xác thực
Không phải mọi phương thức MFA có độ an toàn như nhau. Theo hướng chung của ngành, có thể sắp xếp từ yếu đến mạnh như sau:
- Mã qua SMS hoặc cuộc gọi: dễ triển khai nhưng chịu rủi ro SIM swap và chặn bản tin; chỉ nên coi là phương án dự phòng.
- Ứng dụng xác thực (Microsoft Authenticator…) với number matching: thông báo đẩy kèm bước nhập số giúp giảm tấn công làm phiền liên tục (MFA fatigue).
- Khóa bảo mật FIDO2 và passkey: chống phishing theo thiết kế vì chỉ hoạt động với đúng tên miền; phù hợp cho tài khoản quản trị và người dùng rủi ro cao.
Security Defaults hay Conditional Access?
Microsoft Entra ID có hai hướng chính để bắt buộc MFA. Security Defaults là bộ thiết lập an toàn cơ bản có thể bật nhanh, phù hợp tổ chức nhỏ và nhu cầu đơn giản. Conditional Access cho phép xây chính sách chi tiết theo người dùng, ứng dụng, thiết bị, vị trí hoặc mức rủi ro đăng nhập, nhưng cần giấy phép phù hợp (ví dụ gói Microsoft 365 Business Premium có Microsoft Entra ID P1; nên đối chiếu phạm vi license hiện hành khi lập kế hoạch). Hai cơ chế này không dùng đồng thời: khi dùng Conditional Access cần tắt Security Defaults.
Lộ trình triển khai đề xuất
- Rà soát: thống kê tài khoản người dùng, tài khoản dịch vụ, ứng dụng đang dùng và các giao thức đăng nhập cũ (legacy authentication) không hỗ trợ MFA.
- Thí điểm: bật cho nhóm nhỏ (đội IT, vài phòng ban) để thu thập phản hồi, chuẩn bị tài liệu hướng dẫn đăng ký.
- Bảo vệ tài khoản quản trị trước: bắt buộc MFA cho mọi vai trò quản trị. Tạo ít nhất hai tài khoản truy cập khẩn cấp (break-glass), mật khẩu dài và lưu an toàn, loại trừ khỏi chính sách MFA để tránh bị khóa khỏi tenant, đồng thời có cảnh báo khi các tài khoản này đăng nhập.
- Mở rộng toàn tổ chức: yêu cầu người dùng đăng ký phương thức, đặt thời hạn rõ ràng, chặn legacy authentication khi các ứng dụng đã chuyển sang xác thực hiện đại.
- Giám sát và tinh chỉnh: theo dõi báo cáo đăng nhập, xử lý ngoại lệ có thời hạn, rà soát định kỳ.
Những điểm dễ sai khi triển khai
- Bật chính sách cho toàn bộ người dùng ngay từ đầu mà chưa kiểm tra tài khoản dịch vụ và ứng dụng cũ, gây gián đoạn.
- Không có tài khoản truy cập khẩn cấp, dẫn đến bị khóa khỏi tenant khi chính sách cấu hình sai.
- Để SMS làm phương thức duy nhất mà không có lộ trình nâng lên ứng dụng xác thực hoặc FIDO2.
- Cho phép ngoại lệ vô thời hạn và không có người chịu trách nhiệm rà soát.
- Thiếu truyền thông nội bộ nên người dùng đăng ký sai cách hoặc bỏ qua thông báo.
MFA là bước nền tảng trong chiến lược Zero Trust: xác minh rõ ràng danh tính trước khi cấp quyền truy cập. Khi đã có nền tảng này, doanh nghiệp có thể mở rộng sang yêu cầu thiết bị tuân thủ, phân quyền theo nhu cầu và giám sát rủi ro đăng nhập.
Nếu doanh nghiệp cần đánh giá hiện trạng hoặc xây dựng lộ trình triển khai phù hợp, đội ngũ DHTD sẵn sàng trao đổi và tư vấn theo bối cảnh cụ thể của từng đơn vị.
