6、深入理解 Azure AD 中的 MFA 与条件访问策略

深入理解 Azure AD 中的 MFA 与条件访问策略

1. 理解多因素身份验证（MFA）

多因素身份验证（MFA）是一种强大的账户保护技术，它要求用户不仅仅提供用户名和密码，还需通过其他身份验证因素来证明自己的身份。一般来说，MFA 需要以下三种类型的因素：
- 你是谁 ：例如用户账户名或生物特征属性。
- 你知道什么 ：例如密码。
- 你拥有什么 ：例如额外的身份验证因素，如智能卡、智能手机应用程序或安全密钥。

MFA 挑战通常在成功登录尝试后触发，这意味着用户名和密码组合已经通过验证。在 Azure AD 中，有多种使用 MFA 的选项：
- 来自 Microsoft Authenticator 智能手机应用的推送消息。
- 来自 Microsoft Authenticator 智能手机应用的一次性密码（OTP）。
- 发送到移动设备的包含 OTP 的短信。
- 打到验证电话的电话。
- 安全密钥或令牌。

合理设置 MFA 可以应对各种情况。例如，在没有移动数据或 Wi-Fi 时，可以使用短信或智能手机应用中的 OTP 代码；若将智能手机忘在家里，可以通过办公室电话接收验证。需要注意的是，不要将手机号码作为唯一的验证电话，以免丢失手机时无法进行验证。

为防止意外被锁定在 Azure AD 环境之外，需要创建至少两个具有更高权限的管理紧急访问账户，部分此类账户也需要 MFA 保护。一个账户最多可连接五个身份验证因素，例如三个安全密钥、一个智能手机应用和一个电话号码