Azure AD MFA
如果你的组织使用Microsoft Azure Active Directory(AD)并使用Azure AD多因素身份验证(MFA)来保护登录,则可以通过将Azure AD MFA配置为ADSelfService Plus的MFA功能的身份验证方法来扩展其用途。这简化了管理员的配置过程,并为最终用户提供熟悉的身份验证体验。
Azure AD MFA可在以下情况下用于身份验证:
- AD自助密码重置或帐户解锁操作。
- 用于Windows、MacOS和Linux的终端计算机登录,以及Outlook Web登录。
- 企业应用通过单点登录登录。
- ADSelfService Plus门户登录。
Azure AD MFA提供以下授权码来保护访问:
- 基于Microsoft Authenticator应用的推送通知。
- 基于Microsoft Authenticator应用的验证码。
- 基于手机呼叫的验证。
- 基于短信的验证。
- 使用Yubio、DeepNet Security等的OATH硬件令牌。
Azure AD MFA是如何工作的?

- 用户尝试登录或执行自助密码重置或帐户解锁。
- 加载多因素身份验证页面,用户启动Azure AD MFA。
- ADSelfService Plus服务器向网络策略服务器(NPS)发送RADIUS请求。
- Azure MFA的NPS扩展联系Azure云并触发MFA请求。
- 如果为Azure AD MFA启用了Microsoft验证器推送通知或基于电话的验证方法,则会直接触发验证请求。
- 如果为Azure AD MFA启用了基于Microsoft Authenticator应用、基于硬件令牌或基于SMS的验证码方法,则NPS扩展将向ADSelfService Plus服务器返回RADIUS质询响应,并提示用户输入验证码。
- 一旦Azure AD MFA成功,NPS扩展将向ADSelfService Plus服务器返回RADIUS接受响应,并授予用户访问权限。
Azure AD MFA配置的步骤
使用Azure中预先存在的配置和用户注册信息,您可以使用以下步骤启用Azure AD MFA作为ADSelfService Plus身份验证方法:
前提条件:
- 配置为 NPS 的服务器必须使用这些步骤安装和配置 Azure NPS 扩展。
- 必须在NPS中为ADSelfService Plus服务器配置RADIUS客户端。
- 在NPS中,必须通过选择连接请求策略 > 身份验证下的接受没有验证凭据的用户选项跳过主身份验证。
- 确保跳过身份验证的连接策略仅适用于ADSelfService Plus的RADIUS客户端,以避免未经身份验证访问同一NPS中的其他RADIUS客户端。
- 如果需要删除Azure AD MFA,请在未在ADSelfService Plus中禁用Azure AD MFA的情况下卸载Azure NPS扩展。
- 最终用户必须在Azure AD MFA中注册。
配置步骤:
- 点击配置 > 自助服务 > 多重身份验证 > 身份验证设置。
- 从选择策略下拉框中,选择一条策略。
注意: ADSelfService Plus 允许您创建组织单位 (OU) 和基于组的策略。要创建策略,请点击配置 > 自助服务 > 策略配置 > 添加新策略。点击选择 OU/组并根据您的要求进行选择。您需要至少选择一项自助服务功能。最后,点击保存策略。
- 点击Azure AD MFA。
- 在NPS 服务器、NPS 身份验证端口、身份验证方法、共享密钥(在配置 RADIUS 客户端时设置。请参阅前提条件 2)、用户名模式和请求超时设置字段中输入必要的信息。
- 对于 OATH 硬件令牌、基于 SMS 的验证和基于 Microsoft Authenticator 应用的验证码方法,必须选择 PAP 作为身份验证方法。
- 对于基于 Microsoft Authenticator 应用的推送通知和基于移动电话的验证方法,建议将请求超时设置设置为至少 60 秒。
- 点击测试连接并保存。

修改配置:
- 点击配置 > 自助服务 > 多重身份验证 > 身份验证设置。
- 选择Azure AD MFA。
- 点击修改并在必要时更改所提供的信息。
- 如果需要删除配置,请点击删除配置。
- 点击测试连接并保存。