自定义应用程序在Azure Active Directory中具有条件访问的多因素身份验证

Question

我们有一个自定义Web应用程序，该应用程序托管在Hetzner服务器上。当用户想要访问站点时，他们将重定向到Azure AD进行登录。我们的目标是仅为此应用程序启用MFA，但它不起作用。只有正常的登录，而无需第二个因素。

我们已在Azure AD中添加了一个自定义云应用程序，并为该应用程序配置了已激活MFA的策略（无论哪个客户端，位置等）。全局激活MFA后，它将起作用，并且用户必须启用/使用第二个因素才能通过Azure AD登录。但是使用该策略将无法正常工作。 假设分析工具说，已使用该策略。 Azure AD拥有P2许可证，并且用于测试一个用户还拥有Cloud App Security许可证。

有人知道为什么不考虑条件访问规则吗？

Answer 1

我在一边测试，一切都很好。这是我的条件访问设置：

1. 选择用户和组

1. 选择应用程序

1. 设置授予访问控制

1. 启用政策

最后，当我尝试登录Web应用程序时，将要求我提供其他信息。但是，对于其他应用程序（Azure门户，Office门户等），我仍然可以直接登录。

Answer 2

最后，我们找到了用于Web应用程序的解决方案。 当重定向到Azure AD时，我们的应用程序使用response_type代码并使用范围user.read。我们已经将openid添加到范围中，现在执行了条件访问策略。

我不知道为什么这可以解决问题，但也许有人也陷入了陷阱，至少找到了解决方法。