Azure AD B2C MFA 强制执行不起作用

Question

我们希望部分用户需要使用 MFA，而部分用户无需使用 MFA 即可登录。为此，我们有两个组“需要 MFA”和“不需要 MFA”。当我们想要为用户激活 MFA 时，我们只需将他们从一个组移动到另一组即可。 我们有条件访问来强制执行 MFA。

包括/不包括：

补助金：

用户流程：

问题是现在我获得了所有用户的 MFA 屏幕。 “MFA 执行”甚至表示“有条件地将 MFA 决定委托给条件访问政策”。当悬停在“i”上方时。当我在用户流程中选中“强制执行条件访问策略”选项时，没有任何变化。

这是怎么回事？我觉得我错过了一些东西，但我在网上找不到任何东西。

编辑：我检查了 azure 中的审核日志，当我使用“需要 MFA”的用户登录时，我看到了以下内容：

对于“不需要 MFA”的用户，我看到了这一点：

尽管如此，我仍然获得了 MFA 屏幕。

Answer 1

为所有用户获取 MFA 屏幕的原因可能如下：

• 检查您是否已为用户启用每用户 MFA。

• 请注意，如果您采用条件访问策略，则不应启用/强制执行每用户 Azure 广告 MFA。
• 如果您启用了该选项，用户可能会看到 MFA 屏幕，即使他们被条件访问策略排除在外。
• 检查您是否启用了安全默认值选项。如果启用，请确保禁用它。

请检查自助密码重置是否启用。确保禁用它。

欲了解更多详情，请参考以下链接：

启用每用户多重身份验证 - Azure Active Directory |微软文档

为一组用户禁用Azure AD MFA中断模式 - Thinbug

Answer 2

我与 Microsoft 的人员进行了联系，事实是，当您使用身份验证器应用程序作为 MFA 选项时，每个用户都必须在下次/第一次登录时（更改后）将其身份验证器应用程序注册为 MFA 解决方案。

他们第一次注册后，将永远不会再看到 MFA 屏幕。这只是一次性的事情。他们第二次登录时，只有我的 MFA 列表中的用户才能看到 MFA 屏幕。

检查这个答案的日期，因为预览中有一些项目，我刚才所说的一切可能已经改变了。

Answer 3

要求：

UserFlow1：具有条件 MFA 要求（如本主题中的第一个屏幕截图所示）

• UserFlow2：无 MFA（无强制执行且无条件）
• 您的应用程序具有了解 MFA 设置的用户列表（是/否）
• 您需要一个初始登录页面（仅包含电子邮件地址）
实施步骤：

用户输入电子邮件地址

1. 检查是否需要MFA 在您的应用程序中
2. 重定向到 UserFlow1 或 UserFlow2 为方便起见，请在网址中添加
[电子邮件受保护]
3. 验证声明；该财产 tfp 包含用于登录的流，这必须与来自的流相匹配 步骤 2.