Po tym artykule włączysz MFA w Microsoft 365 w sposób bezpieczny dla SMB: najpierw na grupie pilotowej, z onboardingiem użytkowników i weryfikacją w logach.

Kontekst

• Problem: w SMB jedno przejęte hasło oznacza dostęp do całej poczty i danych M365.
• Dla kogo: administrator M365, właściciel lub IT generalista (5–300 użytkowników).
• Cel: włączyć MFA tak, aby nie zablokować użytkowników i mieć dowód, że działa.

W tym tutorialu konfigurujemy podwójną metodę uwierzytelniania, a na końcu sprawdzamy jej działanie w logach.

Wymagania

• Uprawnienia administracyjne do konfiguracji tożsamości
• Dostęp do Microsoft Entra admin center
  https://entra.microsoft.com
• (Zalecane) Wybierz paru użytkowników i włącz im testowo MFA, przed globalną zmianą

Konfiguracja – krok po kroku

Krok 1: Przygotuj grupę pilotową

Cel: przetestować MFA bez ryzyka dla całej organizacji.

1. Utwórz grupę Entra ID, np. PILOT-mfa-m365.
2. Dodaj 2–5 użytkowników:
   • IT
   • 1–2 osoby z biznesu

Krok 2: Włącz MFA

Cel: wymusić drugi składnik uwierzytelniania dla użytkowników pilota.

Ustawienia:

1. Wejdź do Centrum administracyjne Microsoft Entra (Entra admin center).
2. Przejdź do (Users → All Users → Per-user multifactory authentication).
3. Skonfiguruj MFA per‑user dla osób wskazanych do grupy testowej.

Onboarding użytkowników:

• Microsoft Authenticator (główna metoda)
• metoda zapasowa (np. SMS)

Wyjątki:

• stosuj wyłącznie dla kont serwisowych
• zaplanuj ich migrację (konto aplikacji / managed identity)

Krok 3: Przypisanie i propagacja

• Przypisz ustawienie do wszystkich osób z grupy pilotowej
• Odczekaj 15–60 minut na propagację

Jak zweryfikować, że MFA działa

Najczęstsze problemy i szybkie naprawy

Podsumowanie

• MFA to najtańsze i najszybsze wzmocnienie bezpieczeństwa M365.
• Kluczowe są: testy, onboarding i weryfikacja w logach.

Co dalej

• Wdróż Conditional Access (Business Premium/Entra P1)
• Zabezpiecz pocztę: SPF / DKIM / DMARC + Defender
• Zaplanuj kwartalny przegląd ustawień i krótki trening użytkowników