Erro de MFA no Connect-ExchangeOnline? Use o login por código de dispositivo

Quem administra tenants Microsoft 365 de vários clientes já passou por isso: você abre o PowerShell, roda o Connect-ExchangeOnline e, em vez da janela de login, recebe um erro como este:

AADSTS50076: Due to a configuration change made by your administrator... you must use multi-factor authentication

 

Em seguida, qualquer comando do Exchange, como Set-Mailbox ou Get-MailboxRegionalConfiguration, retorna "is not recognized", simplesmente porque a conexão nunca foi estabelecida.

 

Por que isso acontece

O tenant exige MFA para a conta administrativa, o que hoje é o cenário padrão (e recomendado). O problema é que, em algumas situações, o PowerShell não consegue exibir a solicitação de MFA. As causas mais comuns são:

• o login integrado do Windows (WAM) tentando usar uma conta em cache de outro tenant;
• versões antigas do módulo ExchangeOnlineManagement;
• a janela de autenticação que não abre em sessões remotas ou servidores sem navegador;
• o PowerShell 7 em arquiteturas como ARM.

 

A solução: o parâmetro -Device

O parâmetro -Device usa o fluxo de autenticação por código de dispositivo. Em vez de abrir uma janela de login dentro do PowerShell, ele gera um código e deixa toda a autenticação, inclusive o MFA, acontecer no navegador.

PS> Connect-ExchangeOnline -UserPrincipalName admin@cliente.com.br -Device

 

O passo a passo é simples:

1. Rode o comando acima, trocando pelo usuário administrador do tenant.
2. O PowerShell exibe um código e o endereço https://microsoft.com/devicelogin.
3. Abra o endereço em qualquer navegador, inclusive no celular ou em outro computador.
4. Cole o código, faça login com a conta de administrador e aprove o MFA.
5. Volte ao PowerShell: a conexão estará ativa e os cmdlets do Exchange disponíveis.

Para conferir se está conectado, rode Get-ConnectionInformation. Ao terminar, encerre a sessão com:

PS> Disconnect-ExchangeOnline -Confirm:$false

 

Vantagens

• Funciona em versões antigas do módulo, que ainda não têm o parâmetro -DisableWAM;
• Resolve o problema de contas em cache, já que o login acontece do zero no navegador;
• Permite administrar a partir de servidores, sessões remotas ou máquinas sem navegador, autenticando por outro dispositivo.

 

Cuidados de segurança

O fluxo por código de dispositivo é seguro quando é você quem gera o código, mas ele também é muito explorado em ataques de phishing.

?? Nunca digite em microsoft.com/devicelogin um código recebido por e-mail, Teams ou WhatsApp que você mesmo não gerou no seu terminal.

 

Por esse motivo, algumas empresas bloqueiam esse fluxo por Acesso Condicional (em Entra ID, na condição "Fluxos de autenticação"). Se o -Device retornar erro de bloqueio em um tenant específico, provavelmente é essa política, e aí a alternativa é atualizar o módulo e usar -DisableWAM.

 

Resumo

Se o Connect-ExchangeOnline falhar com erro de MFA, não é preciso desativar a segurança do tenant nem reinstalar nada às pressas. Um único parâmetro, -Device, leva a autenticação para o navegador e resolve a conexão em poucos segundos, mantendo o MFA ativo como deve ser.

 

Precisa de ajuda com Microsoft 365 ou Exchange Online? A 01 IT é parceira oficial Microsoft e tem profissionais certificados para administrar o seu ambiente. Fale com a gente pelo site www.01it.com.br.