使用Azure AD的服务器启动的MFA

Question

如何明确触发MFA提示，例如来自Azure Active Directory或ADFS用户的Web服务？

示例方案可能是在用户对Web应用进行身份验证并启动会话后，某些操作将通过MFA验证进行门控。

我看到有一些变通办法可以通过使用MFA登录然后让软件提示登录来建立类似的行为，但SSO会阻止这些提示始终到达用户：

• Phone Sign-In (Microsoft accounts)
• MFA as Primary Auth (ADFS)

此处的目的是触发与auth分开的MFA验证。

Answer 1

需要选通的操作必须是需要MFA的资源。如果资源需要MFA，并且用户未使用MFA登录，则会提示他们。本文似乎涵盖了该用例：

Quickstart: Require MFA for specific apps with Azure Active Directory conditional access

  

为简化用户的登录体验，您可能希望允许他们使用用户名和密码登录云应用程序。但是，许多环境中至少建议有一些应用程序需要更强大的帐户验证形式，例如多因素身份验证（MFA）。例如，对于访问组织的电子邮件系统或HR应用程序而言，可能是正确的。在Azure Active Directory（Azure AD）中，可以使用条件访问策略来实现此目标。