Recopilación de datos de usuario de Microsoft Entra para la autenticación multifactor y el autoservicio de restablecimiento de contraseña
Este documento explica cómo encontrar la información de usuario recopilada por el Servidor Microsoft Azure Multi-Factor Authentication (Servidor Azure MFA), la autenticación multifactor de Microsoft Entra (basada en la nube) y el autoservicio de restablecimiento de contraseña (SSPR) en el caso de que quiera eliminarla.
Nota:
Para obtener información sobre la visualización y eliminación de datos personales, revise las instrucciones de Microsoft en el sitio Servicio de tratamiento de datos de solicitudes de interesados de Windows Enterprise para el RGPD y la CCPA. Para obtener información general sobre RGPD, consulte Información sobre los procedimientos recomendados para el cumplimiento del RGPD y la sección RGPD del portal de confianza de servicios.
Información de MFA recopilada
El servidor MFA, la extensión de NPS y el adaptador Azure AD de la autenticación multifactor de Microsoft Entra de Windows Server 2016 recopilan y almacenan la siguiente información durante 90 días.
Intentos de autenticación (esta información se utiliza para crear informes y solucionar problemas):
- Timestamp
- Nombre de usuario
- Nombre
- Apellido
- Dirección de correo electrónico
- Grupo de usuarios
- Método de autenticación (llamada de teléfono, mensaje de texto, aplicación móvil o token OATH)
- Modo de llamada de teléfono (estándar, PIN)
- Dirección de los mensajes de texto (unidireccional o bidireccional)
- Modo de mensaje de texto (OTP, OTP + PIN)
- Modo de aplicación móvil (estándar, PIN)
- Modo de token OATH (estándar, PIN)
- Tipo de autenticación
- Nombre de la aplicación
- Código de país principal de la llamada
- Número de teléfono principal de la llamada
- Extensión principal de la llamada
- Autenticación principal de la llamada
- Resultado principal de la llamada
- Código de país de reserva de la llamada
- Número de teléfono de reserva de la llamada
- Extensión de reserva de la llamada
- Autenticación de reserva de la llamada
- Resultado de reserva de la llamada
- Autenticaciones globales
- Resultado global
- Results
- Autenticadas
- Resultado
- Dirección IP de inicio
- Dispositivos
- Token del dispositivo
- Tipo de dispositivo
- Versión de la aplicación móvil
- Versión del SO.
- Resultado
- Comprobación utilizada para la notificación
Activaciones (intentos de activar una cuenta en la aplicación móvil Microsoft Authenticator):
- Nombre de usuario
- Nombre de cuenta
- Timestamp
- Resultado de la obtención del código de activación
- Activación correcta
- Error de activación
- Resultado del estado de activación
- Device Name (Nombre del dispositivo)
- Tipo de dispositivo
- Versión de la aplicación
- Token OATH habilitado
Bloqueos (esta información se utiliza para crear informes y determinar el estado de bloqueo):
- Bloqueo de la marca de tiempo
- Bloqueo por nombre de usuario
- Nombre de usuario
- Código de país
- Número de teléfono
- Número de teléfono con formato
- Extensión
- Extensión limpia
- Bloqueado
- Razón del bloqueo
- Marca de tiempo de finalización
- Resultados de la finalización
- Bloqueo de cuenta
- Alerta de fraude
- Alerta de fraude no bloqueada
- Idioma
Omisiones (usadas para informes):
- Marca de tiempo de la omisión
- Segundos de omisión
- Omisión por nombre de usuario
- Nombre de usuario
- Código de país
- Número de teléfono
- Número de teléfono con formato
- Extensión
- Extensión limpia
- Razón de omisión
- Marca de tiempo de finalización
- Resultados de la finalización
- Omisión utilizada
Cambios (se usa para sincronizar los cambios de usuario en el servidor MFA o en Microsoft Entra ID):
- Marca de tiempo del cambio
- Nombre de usuario
- Nuevo código de país
- Nuevo número de teléfono
- Nueva extensión
- Nuevo código de país de reserva
- Nuevo número de teléfono de reserva
- Nueva extensión de reserva
- Nuevo PIN
- Se requiere cambiar el PIN
- Token antiguo del dispositivo
- Nuevo token del dispositivo
Recopilar datos del servidor MFA
En la versión 8.0 o posteriores del servidor MFA, el siguiente proceso permite a los administradores exportar todos los datos de los usuarios:
- Inicie sesión en el servidor MFA, vaya a la pestaña Usuarios, seleccione el usuario en cuestión y haga clic en el botón Editar. Realice capturas de pantalla (Alt-Impr Pant) de cada pestaña para proporcionar a los usuarios su configuración actual de MFA.
- Desde la línea de comandos del servidor MFA, ejecute el siguiente comando cambiando la ruta de acceso según su instalación
C:\Program Files\Multi-Factor Authentication Server\MultiFactorAuthGdpr.exe export <username>para generar un archivo en formato JSON. - Los administradores también pueden utilizar la operación GetUserGdpr del SDK de servicio web como una opción para exportar toda la información del servicio en la nube MFA recopilada para un usuario determinado o incorporarla en una solución de informes más grande.
- Busque
C:\Program Files\Multi-Factor Authentication Server\Logs\MultiFactorAuthSvc.logy cualquier copia de seguridad de "<username>" (incluya las comillas en la búsqueda) para obtener todas las instancias del registro de usuario que se va a agregar o modificar.- Estos registros se pueden limitar (pero no eliminar) desactivando "Registrar cambios de usuarios" en la UX del servidor MFA, sección Registro, pestaña Archivos de registro.
- Si se configura Syslog y se marca "Registrar cambios de usuarios" en la UX del servidor MFA, sección Registro, pestaña Syslog, las entradas de registro se podrán recopilar desde Syslog.
- Otras apariciones del nombre de usuario en MultiFactorAuthSvc.log y otros archivos de registro del servidor MFA que pertenezcan a intentos de autenticación se considerarán operacionales y que duplican la información proporcionada con la exportación de MultiFactorAuthGdpr.exe o GetUserGdpr del SDK del servicio web.
Eliminar datos del servidor MFA
Desde la línea de comandos del servidor MFA, ejecute el siguiente comando cambiando la ruta de acceso según su instalación C:\Program Files\Multi-Factor Authentication Server\MultiFactorAuthGdpr.exe delete <username> para eliminar toda la información del servicio en la nube de MFA recopilada para este usuario.
- Los datos incluidos en la exportación se eliminan en tiempo real, pero los datos duplicados u operativos pueden tardar hasta 30 días en eliminarse completamente.
- Los administradores también pueden utilizar la operación DeleteUserGdpr del SDK del servicio web como una opción para eliminar toda la información del servicio en la nube MFA recopilada para un usuario determinado o incorporarla en una solución de informes más grande.
Recopilar datos de la extensión NPS
Use el Portal de privacidad de Microsoft para hacer una solicitud de exportación.
- La información de MFA se incluye en la exportación, un proceso que puede tardar horas o días en completarse.
- Las apariciones del nombre de usuario en los registros de eventos AzureMfa/AuthN/AuthNOptCh, AzureMfa/AuthZ/AuthZAdminCh y AzureMfa/AuthZ/AuthZOptCh se consideran información duplicada y operativa a la proporcionada en la exportación.
Eliminar datos de la extensión NPS
Use el portal de privacidad de Microsoft para realizar una solicitud de cierre de cuenta y eliminar así toda la información del servicio en la nube de MFA recopilada para este usuario.
- Los datos pueden tardar hasta 30 días en eliminarse completamente.
Recopilación de datos del adaptador Azure AD de la autenticación multifactor de Microsoft Entra de Windows Server 2016
Use el Portal de privacidad de Microsoft para hacer una solicitud de exportación.
- La información de MFA se incluye en la exportación, un proceso que puede tardar horas o días en completarse.
- Las apariciones del nombre de usuario en los registros de eventos de seguimiento y depuración de AD FS (si la opción está habilitada) se consideran información duplicada y operativa a la proporcionada en la exportación.
Eliminación de datos del adaptador Azure AD de la autenticación multifactor de Microsoft Entra de Windows Server 2016
Use el portal de privacidad de Microsoft para realizar una solicitud de cierre de cuenta y eliminar así toda la información del servicio en la nube de MFA recopilada para este usuario.
- Los datos pueden tardar hasta 30 días en eliminarse completamente.
Recopilación de datos para la autenticación multifactor de Microsoft Entra
Use el Portal de privacidad de Microsoft para hacer una solicitud de exportación.
- La información de MFA se incluye en la exportación, un proceso que puede tardar horas o días en completarse.
Eliminación de datos para la autenticación multifactor de Microsoft Entra
Use el portal de privacidad de Microsoft para realizar una solicitud de cierre de cuenta y eliminar así toda la información del servicio en la nube de MFA recopilada para este usuario.
- Los datos pueden tardar hasta 30 días en eliminarse completamente.
Eliminación de datos para el autoservicio de restablecimiento de contraseña
Los usuarios pueden agregar respuestas a preguntas de seguridad como parte de SSPR. Se aplica un hash a las preguntas y respuestas de seguridad para evitar el acceso no autorizado. Tenga en cuenta que solo se guardan los datos con hash, por lo que no se pueden exportar las preguntas y respuestas de seguridad. Los usuarios pueden ir a Mis inicios de sesión para editarlos o eliminarlos. Otra información que se guarda para SSPR es la dirección de correo electrónico del usuario.
Los asignados al rol Administrador de autenticación con privilegios pueden quitar los datos recopilados para cualquier usuario. En la página Usuarios de Microsoft Entra ID, haga clic en Métodos de autenticación y seleccione un usuario para quitar su teléfono o dirección de correo electrónico.