El único administrador global del inquilino

Para restablecer MFA cuando el único administrador global ha perdido acceso a Microsoft Authenticator, las opciones dependen de si realmente existe otro administrador con permisos suficientes o no.

1. Si hubiera otro administrador con permisos adecuados (Global/Privileged/Authentication Admin)
   Ese administrador podría:
   1. Iniciar sesión en el Microsoft Entra admin center con una cuenta con rol adecuado (por ejemplo, Global Administrator, Privileged Authentication Administrator o Authentication Administrator).
   2. Ir a Entra ID > Users.
   3. Seleccionar la cuenta del administrador bloqueado.
   4. Ir a Authentication methods.
   5. Seleccionar Require re-register multifactor authentication.
      Esto elimina los métodos de MFA (incluido Microsoft Authenticator) y, en el siguiente inicio de sesión, se pedirá registrar de nuevo MFA.
   Este mismo procedimiento se describe en:
   • "Require re-register MFA" en Authentication methods para un usuario.
2. Si realmente es el único administrador global del tenant (sin otro admin con permisos para resetear MFA)
   En este caso no hay una acción de autoservicio desde el portal, porque nadie puede entrar al centro de administración para hacer el reset de MFA. La recuperación pasa por soporte de Microsoft y verificación de identidad/propiedad del tenant:
   1. Contactar con el soporte de Microsoft (Data Protection / Tenant Recovery)
      • Llamar a los números de soporte de Microsoft 365 para empresas indicados en "Customer service phone numbers - Microsoft Support" o "Find Microsoft 365 for business support phone numbers by country or region".
      • Indicar claramente:
        • Que se trata de una cuenta de administrador global.
        • Que es el único administrador global del tenant.
        • Que se ha perdido acceso a Microsoft Authenticator y no hay otros métodos de MFA configurados.
        • Que no se puede abrir un ticket desde el portal porque no se puede completar MFA.
      • Solicitar que se cree un caso con el Data Protection team / Tenant Recovery para restablecer los métodos de autenticación del administrador.
      • Estar preparado para pasar por un proceso de verificación de identidad y propiedad del tenant (documentación de la organización, dominio, etc.), tal como se describe en los procesos de recuperación de tenant.
   2. (Alternativa cuando no se consigue hablar con un agente)
      Algunos moderadores recomiendan, si no se logra llegar a un agente, crear un tenant temporal (por ejemplo, con una prueba de Microsoft 365) solo para poder abrir un ticket desde el centro de administración de ese tenant nuevo y pedir que el caso se escale al equipo de Data Protection para el tenant original.
      Esta vía no sustituye la verificación de identidad, pero permite crear el caso cuando no se puede usar el portal del tenant original.
   En los escenarios de bloqueo de tenant donde no hay otro Global Admin disponible, la documentación y las respuestas oficiales indican que la recuperación debe hacerse directamente con el soporte de Microsoft (Data Protection / Tenant Recovery), que es quien puede ayudar a restablecer MFA tras verificar la propiedad del tenant.
3. Recomendaciones para el futuro (una vez recuperado el acceso)
   La documentación sobre prevención de lockouts y buenas prácticas recomienda:
   • Configurar al menos dos cuentas de Global Admin con credenciales y métodos de MFA distintos.
   • Crear cuentas de emergencia (break-glass) excluidas de las directivas de acceso condicional, con contraseñas robustas y supervisión de inicios de sesión.
   • Habilitar y mantener actualizados los métodos de Self-Service Password Reset (SSPR).

References:

• Manage user authentication methods for Microsoft Entra multifactor authentication
• Preventing tenant lockouts
• Tenant Lockout: Scenarios & Next Steps
• Tenant access recovery
• Common problems with two-step verification for a work or school account
• Can't set up MFA because five devices are already registered to use an authenticator app
• Troubleshoot application sign-in
• Global Admin Locked out - Microsoft Q&A
• I need to reset my mfa methods - Microsoft Q&A
• Severity A Situation - Locked out of global admin account (MFA) - business down - Microsoft Q&A
• Requesting a Tenant Admin MFA Reset - Microsoft Q&A
• Microsoft authenticator sending me into a spiral - Microsoft Q&A