Jak włączyć MFA w Microsoft 365 bez przestoju w firmie
Pokazujemy, w jakiej kolejności włączać MFA w Microsoft 365, żeby nikt nie stracił dostępu. Piszemy o kontach awaryjnych, wspólnych i starych aplikacjach.
Żeby włączyć MFA w Microsoft 365 bez przestoju, samo włączenie zostaw na koniec. Najpierw tworzysz konta awaryjne i sprawdzasz, które urządzenia logują się starszymi protokołami. Potem uprzedzasz pracowników i porządkujesz konta wspólne. Dopiero wtedy włączasz MFA: najpierw dla administratorów, potem dla grupy testowej, na końcu dla wszystkich.
Uwierzytelnianie wieloskładnikowe (MFA) to logowanie hasłem i drugim składnikiem, np. potwierdzeniem w aplikacji na telefonie. Według Microsoftu MFA i blokada starszego logowania zatrzymują ponad 99,9% typowych ataków na tożsamość (domyślne ustawienia zabezpieczeń w Microsoft Entra ID, stan na 28.09.2026). Pełny zakres zabezpieczeń, które konfigurujemy, opisujemy na stronie bezpieczeństwa Microsoft 365.
Krok 1: domyślne ustawienia zabezpieczeń czy dostęp warunkowy?
Microsoft 365 daje dwa sposoby wymuszenia MFA. Domyślne ustawienia zabezpieczeń (security defaults) są bezpłatne i włącza się je jednym przełącznikiem. Nie da się ich jednak dostosować: działają dla całej organizacji albo wcale. Dostęp warunkowy (Conditional Access) pozwala ustawić zasady dla wybranych użytkowników, aplikacji i urządzeń. Wymaga licencji Microsoft Entra ID P1, która jest m.in. w Microsoft 365 Business Premium (wymagania licencyjne dostępu warunkowego).
| Domyślne ustawienia zabezpieczeń | Dostęp warunkowy | |
|---|---|---|
| Licencja | nie wymaga | co najmniej Entra ID P1 |
| Włączanie etapami | nie | tak, np. najpierw grupa testowa |
| Wyjątki dla kont awaryjnych | nie | tak |
| Tryb „tylko raport” przed włączeniem | nie | tak |
| Wymaganie zarządzanego urządzenia | nie | tak, razem z Intune |
Obu mechanizmów nie używa się naraz. Jeśli przechodzisz na dostęp warunkowy, zasady, które zastąpią domyślne ustawienia, musisz włączyć zaraz po ich wyłączeniu.
Krok 2: konta awaryjne
Konto awaryjne (break-glass) pozwala odzyskać dostęp, gdy błędna zasada albo awaria MFA zablokuje wszystkich administratorów. Microsoft zaleca dwa takie konta: tylko w chmurze, z rolą administratora globalnego, nieprzypisane do konkretnej osoby (konta dostępu awaryjnego w Microsoft Entra ID, stan na 28.09.2026).
Przy dostępie warunkowym konta awaryjne wyłączamy z zasad (wyjątki przy blokadzie starszego uwierzytelniania). Logowanie na nie powinno wywoływać alert. Przy domyślnych ustawieniach wyjątków nie ma, więc pilnujemy, żeby metoda MFA konta awaryjnego nie zależała od telefonu jednej osoby.
Krok 3: stare aplikacje i urządzenia
Starsze protokoły, takie jak IMAP, POP3 czy uwierzytelnianie SMTP, nie obsługują MFA. Domyślne ustawienia zabezpieczeń i zasada blokady starszego uwierzytelniania odcinają je, więc wszystko, co z nich korzysta, przestaje działać. Typowo są to:
- urządzenia wielofunkcyjne skanujące do e-maila,
- programy wysyłające powiadomienia pocztą, np. z systemów dziedzinowych,
- skrypty i konta usługowe.
Kto korzysta ze starszych protokołów, sprawdzisz w dzienniku logowań w centrum administracyjnym Microsoft Entra, filtrując po rodzaju aplikacji klienckiej. Dla urządzeń i programów wysyłających pocztę Microsoft opisuje bezpieczne alternatywy (konfiguracja urządzenia wielofunkcyjnego do wysyłania poczty przez Microsoft 365). Przestawiamy je przed włączeniem MFA. Inaczej w pierwszy poranek po zmianie skaner w recepcji przestanie wysyłać dokumenty.
Krok 4: konta wspólne i skrzynki współdzielone
Konto wspólne to zwykłe konto, np. biuro@, na które loguje się kilka osób z jednym hasłem. Z MFA to nie działa, bo drugi składnik jest zwykle na telefonie jednej osoby. Takie konto zamieniamy na skrzynkę współdzieloną. Każdy pracownik otwiera ją wtedy ze swojego konta, z własnym MFA.
Skrzynka współdzielona nie wymaga osobnej licencji. Microsoft zaleca, żeby logowanie na jej konto było zawsze zablokowane (skrzynki współdzielone w Microsoft 365, stan na 28.09.2026). Przy okazji sprawdzamy, czy żadna skrzynka współdzielona nie ma odblokowanego logowania.
Krok 5: komunikacja z pracownikami
Przy domyślnych ustawieniach zabezpieczeń od 29 lipca 2024 nie ma 14-dniowego okresu na rejestrację MFA (domyślne ustawienia zabezpieczeń, stan na 28.09.2026). Pracownik musi zarejestrować MFA przy pierwszym logowaniu po zmianie. Dlatego uprzedzamy ludzi wcześniej. Microsoft udostępnia do tego gotowe szablony komunikatów.
Pracownik powinien wiedzieć:
- którego dnia zmiana zacznie działać,
- że potrzebuje telefonu z aplikacją Microsoft Authenticator,
- jak zarejestrować metodę w ustawieniach „Informacje zabezpieczające” swojego konta,
- do kogo dzwonić, jeśli logowanie nie zadziała.
Zmianę włączamy w dniu, w którym helpdesk ma czas odbierać telefony. Unikamy piątku po południu i dni tuż przed zamknięciem miesiąca.
Krok 6: włączanie etapami
Przy dostępie warunkowym dobrze zacząć od zasad, które Microsoft udostępnia jako szablony:
- MFA dla administratorów przy każdym logowaniu.
- MFA dla grupy testowej, a po kilku dniach dla wszystkich użytkowników.
- Blokada starszego uwierzytelniania.
- MFA przy zarządzaniu Azure, Entra i PowerShell.
- Wymaganie zgodnego urządzenia zarządzanego przez Intune, dopiero po uporządkowaniu komputerów.
Każdą zasadę najpierw uruchamiamy w trybie „tylko raport”. W dziennikach widać, kogo zasada by zablokowała. Włączamy ją, gdy na liście nie ma nikogo nieoczekiwanego.
Jaką metodę MFA wybrać?
Dla większości pracowników standardem jest Microsoft Authenticator z powiadomieniem i wpisywaniem numeru. Administratorom i osobom z dostępem do finansów warto dać metody odporne na phishing: klucze FIDO2, klucze dostępu (passkeys) albo Windows Hello for Business. SMS i połączenie głosowe nie chronią przed fałszywymi stronami logowania, więc traktujemy je jako metodę zapasową.
Czy Microsoft sam wymusza MFA?
Częściowo, i tylko dla administratorów. Microsoft wprowadza obowiązkowe MFA przy logowaniu do portali administracyjnych (obowiązkowe MFA dla Azure i portali administracyjnych, stan na 28.09.2026):
- w fazie 1 od października 2024 dla portalu Azure, centrum administracyjnego Entra i Intune, a od lutego 2025 stopniowo dla centrum administracyjnego Microsoft 365,
- w fazie 2 od 1 października 2025 dla Azure CLI, PowerShell, aplikacji mobilnej Azure i narzędzi automatyzacji, z możliwością odroczenia do 1 lipca 2026.
Skrzynki i pliki pracowników nadal chroni tylko Twoja konfiguracja.
Ile kosztuje włączenie MFA w firmie?
Konfigurację wyceniamy indywidualnie. Koszt zależy od liczby użytkowników oraz urządzeń i programów ze starszym logowaniem. Ważne jest też to, czy razem z MFA wdrażamy Intune i Defender. Więcej o zabezpieczeniach znajdziesz w ofercie cyberbezpieczeństwa dla firm.
Jeśli dopiero przenosisz firmę do chmury, zobacz, jak przebiega migracja do Microsoft 365. MFA najłatwiej włączyć od razu przy wdrożeniu. Kolejną warstwą jest monitorowanie zagrożeń i reagowanie na incydenty. Jeśli chcesz włączyć MFA w swojej firmie, skontaktuj się z nami.
