用于多重身份验证的 NPS 扩展的高级配置选项
网络策略服务器 (NPS) 扩展可将基于云的 Microsoft Entra 多重身份验证功能扩展至本地基础结构。 本文假设你已安装扩展，并想了解如何根据自身需求自定义扩展。
备用登录 ID
由于 NPS 扩展同时连接到本地和云端的目录，因此可能会出现本地用户主体名称 (UPN) 与云中的名称不匹配的问题。 要解决此问题，请使用备用登录 ID。
在 NPS 扩展中，可以指定一个 Active Directory 属性，将其用作用于 Microsoft Entra 多重身份验证的 UPN。 这样就能通过双重验证来保护本地资源，且无需修改本地 UPN。
要配置备用登录 ID，请转至 HKLM\SOFTWARE\Microsoft\AzureMfa 并编辑下列注册表值：
| 名称 | 类型 | 默认值 | 说明 |
|---|---|---|---|
| LDAP_ALTERNATE_LOGINID_ATTRIBUTE | string | 空 | 指定要作为 UPN 的 Active Directory 属性的名称。 此属性将用作 AlternateLoginId 属性。 如果将此注册表值设置为有效的 Active Directory 属性（例如 mail 或 displayName），那么将使用该属性的值作为用户的 UPN 进行身份验证。 如果此注册表值为空或未配置，则将禁用 AlternateLoginId，并使用用户的 UPN 来进行身份验证。 |
| LDAP_FORCE_GLOBAL_CATALOG | boolean | False | 在查找 AlternateLoginId 时，凭此标记强制使用全局编录执行 LDAP 搜索。 将域控制器配置为全局编录，向全局编录中添加 AlternateLoginId 属性，然后启用此标记。 如果配置了 LDAP_LOOKUP_FORESTS（非空），则无论注册表设置的值为何，都会将此标记强制设为 True。 在这种情况下，NPS 扩展要求对每个林都使用 AlternateLoginId 属性来配置全局编录。 |
| LDAP_LOOKUP_FORESTS | string | 空 | 提供以分号分隔的林列表以供搜索。 例如，contoso.com;foobar.com。 如果配置了此注册表值，则 NPS 扩展将以迭代的方式、按列表顺序搜索整个林，然后返回第一个成功的 AlternateLoginId 值。 如果未配置此注册表值，则将 AlternateLoginId 的查找范围限制在当前域中。 |
要使用备用登录 ID 排除故障，请对备用登录 ID 错误执行推荐的步骤。
IP 异常
如果需要监视服务器的可用性（例如，负载均衡器是否在发送工作负荷前验证了哪个服务器正在运行），则并不希望验证请求阻止这些检查。 而是创建已知由服务帐户使用的 IP 地址列表，并为该列表禁用多重身份验证要求。
要配置 IP 允许列表，请转到 HKLM\SOFTWARE\Microsoft\AzureMfa，并配置如下注册表值：
| 名称 | 类型 | 默认值 | 说明 |
|---|---|---|---|
| IP_WHITELIST | string | 空 | 提供以分号隔开的 IP 地址列表。 包括发出服务请求的计算机的 IP 地址，例如 NAS/VPN 服务器。 不支持 IP 范围和子网。 例如 10.0.0.1;10.0.0.2;10.0.0.3。 |
注意
此注册表项不是由安装程序默认创建的，并且在重启该服务时，AuthZOptCh 日志中会出现错误。 可能会忽略日志中的此错误，但如果创建了此注册表项并在不需要时将其保留为空，则不会返回错误消息。
当发出请求的 IP 地址来自 IP_WHITELIST 时，将跳过双重验证。 将 IP 列表与 RADIUS 请求的 ratNASIPAddress 属性中提供的 IP 地址相比较。 如果收到的 RADIUS 请求不包含 ratNASIPAddress 属性，则将记录一条警告：“IP_WHITE_LIST_WARNING::IP 允许列表被忽略，因为 RADIUS 请求的 NasIpAddress 属性缺少源 IP。”