我没有发现任何明显的问题来回答这个问题，所以我会在这里问一下，如果我找到了我正在寻找的答案，我将与社区分享。
我正在实施Azure内部部署多重身份验证。一切进展顺利。双向短信工作只是花花公子。 Authenticator应用程序在我的iPhone上工作非常好。我甚至设法让我们的FortiGate设备与我们的VPN连接进行双因素通话。
我现在正试图弄清楚如何实现OATH令牌，因为我的老板不想依赖蜂窝网络，因为我们的移动设备很大一部分都是黑莓手机。
我从未完全理解的是你登录时输入的内容是什么？
场景1：让我说我只有一个OATH令牌，没有Authenticator应用程序，也没有PIN。您在用户名和密码提示中输入了什么？
场景2：如果我的手机上有Authenticator应用程序，但没有手机信号，该怎么办？我可以输入我的用户名然后在应用程序中为我的密码生成的代码吗？
对于场景2：没有手机信号或手机处于飞行模式，使用手机应用程序，输入您的用户名和密码。片刻之后，您将被引导至另一页，您将在应用程序中输入6位数代码，然后您将进入远程系统
您可以使用软件或硬件令牌。软件令牌意味着您在设备上安装2FA应用。硬件令牌是专门用于生成OTP的设备。它们通常很小，并且具有钥匙链或卡片的形式（如Protectimus Slim NFC）。这些令牌提供额外的保护层。这意味着您输入了用户名和密码，然后将要求您输入令牌生成的OTP。
所以，答案如下：场景1：您应输入您的用户名和密码，然后您将被要求输入令牌生成的OTP。场景2：2FA应用程序不需要任何互联网连接。因此，即使您没有细胞信号，您的应用也会产生OTP。
Deepnet的SafeID硬件可用于在云和内部部署服务器上提供Azure多重身份验证：http://wiki.deepnetsecurity.com/display/KB/How+to+Import+SafeID+Token+into+Azure+MFA+Server