Exigir MFA para sua equipe

Você pode exigir a autenticação multifator (MFA) para todos os membros de uma equipe, ou para todos os membros da sua organização. Ao ativar a exigência, você escolhe com que rigor ela é aplicada: um banner persistente que lembra os membros de configurar o MFA, ou um bloqueio total quando o período de carência de 14 dias termina.

Onde exigir o MFA

A exigência de MFA está disponível em dois níveis:

Nível	Onde	Quem pode alterar
Equipe	Team Settings > General, em MFA enforcement	Editores da equipe e administradores da organização
Organização	Organization Settings > Security, interruptor Require MFA for all members	Administradores da organização

A exigência no nível da organização sobrepõe o interruptor da equipe. Quando sua organização exige o MFA, o interruptor da equipe fica travado como ativado e mostra a dica “MFA is enforced at the organization level. Team-level settings cannot override this.”

Ativar a exigência de MFA para uma equipe

1. Abra as configurações da equipe ou navegue até Team Settings > General
2. Em MFA enforcement, ative o interruptor
3. Na caixa de diálogo Enable MFA enforcement?, escolha Banner ou Lockout
4. Clique em Enable

Qualquer pessoa com permissão para gerenciar a equipe pode alterar essa configuração, ou seja, editores da equipe assim como administradores da organização. Os visualizadores da equipe veem o interruptor, mas não podem alterá-lo.

Ativar a exigência de MFA para toda a organização

1. Abra as configurações da organização ou navegue até Organization Settings > Security
2. Ative Require MFA for all members
3. Na caixa de diálogo Enable MFA Enforcement?, escolha Persistent banner ou Full lockout
4. Clique em Enable

Apenas administradores da organização veem a aba Security. Uma vez ativada, a página mostra o modo ativo como um selo e os dias restantes do período de carência.

Modos de exigência

Ambos os níveis oferecem os mesmos dois modos, rotulados Banner / Lockout no interruptor da equipe e Persistent banner / Full lockout na página da organização.

Banner

Os membros sem MFA veem um banner persistente no topo do painel de controle solicitando que o configurem. Eles ainda podem usar todos os recursos enquanto o banner é exibido. Use este modo para incentivar a adoção sem interromper o trabalho da sua equipe.

Lockout

Os membros sem MFA veem o mesmo banner durante o período de carência. Quando o período de carência termina, eles ficam bloqueados do painel de controle até concluírem a configuração do MFA. Use este modo quando sua política de segurança exigir o MFA e você precisar de um prazo firme.

Para trocar de modo, desative a exigência, ative-a novamente e escolha o outro modo na caixa de diálogo.

O período de carência de 14 dias

Cada membro tem 14 dias para configurar o MFA antes que o bloqueio se aplique. O período de carência começa na data mais recente entre duas: a data em que a exigência foi ativada, ou a data em que o membro entrou na equipe ou na organização. Um membro convidado após a ativação da exigência recebe seus próprios 14 dias a partir do dia em que entra.

Durante o período de carência, os membros sempre veem o banner, independentemente do modo escolhido. Depois que ele termina, o modo configurado se aplica. Quando um membro está coberto por mais de uma exigência (por exemplo, sua organização e uma equipe), o modo mais rigoroso e o prazo mais curto prevalecem.

O que acontece quando o MFA é exigido

• Os membros que já têm o MFA ativado podem fazer login normalmente, independentemente do modo
• Os membros sem MFA veem um banner solicitando que configurem o MFA
• No modo lockout, os membros que não configuraram o MFA quando o período de carência termina ficam bloqueados até concluírem a configuração
• Desativar a exigência entra em vigor imediatamente e encerra o período de carência

Todas as alterações de exigência são registradas nos audit logs.

Métodos de MFA suportados

Ambos os métodos de MFA funcionam com a exigência:

• Aplicativos autenticadores - Authy, Google Authenticator, 1Password e outros aplicativos TOTP
• Chaves de segurança físicas - YubiKeys e outros dispositivos FIDO2

Os membros da equipe podem escolher qualquer um dos métodos durante a configuração. Para instruções passo a passo, consulte Como configurar o MFA.

Boas práticas

• Avise sua equipe com antecedência. Compartilhe o guia de configuração do MFA antes de ativar a exigência para que as pessoas possam se configurar no seu próprio tempo.
• Comece com o banner. Mantenha o modo banner por algumas semanas e depois mude para lockout quando a maioria dos membros tiver concluído a configuração.
• Recomende métodos de backup. Ter tanto um aplicativo autenticador quanto uma chave de segurança física evita bloqueios caso um dos métodos fique indisponível.
• Verifique os audit logs. Após ativar a exigência, use os audit logs para confirmar que os membros estão concluindo a configuração.