启用Microsoft Entra多重身份验证

多重身份验证是在登录事件期间提示用户完成其他形式的身份识别的过程。例如，该提示可以是让用户在手机上输入某个代码，或提供指纹扫描。要求完成另一种形式的身份识别可以提高安全性，因为攻击者并不容易获取或复制这种额外的验证因素。

Microsoft Entra多重身份验证和条件访问策略使你可以灵活地要求用户执行 MFA 以执行特定登录事件。

重要

本教程介绍如何启用Microsoft Entra多重身份验证。若要以用户身份按步执行多重身份验证，请参阅使用双重验证方法登录到工作或学校帐户。

如果 IT 团队未启用使用Microsoft Entra多重身份验证的功能，或者在登录期间遇到问题，请联系技术支持以获取其他帮助。

本教程介绍如何执行下列操作：

先决条件

需有以下资源和特权才能完成本教程：

启用了 Microsoft Entra ID P1 或试用版许可证的工作 Microsoft Entra 租户。
- 如果需要，请创建一个。
一个至少有条件访问管理员角色的帐户。某些 MFA 设置也可由身份验证策略管理员管理。
一个非管理员帐户，你知道其密码。对于本教程，我们已创建一个名为 testuser 的帐户。在本教程中，你将测试配置和使用Microsoft Entra多重身份验证的最终用户体验。
- 如果需要有关创建用户帐户的信息，请参阅使用 Microsoft Entra ID 添加或删除用户。
该非管理员用户所属的组。对于本教程，我们已创建一个名为 MFA-Test-Group 的组。在本教程中，你将为此组启用Microsoft Entra多重身份验证。
- 如果需要有关创建组的详细信息，请参阅创建基本组并使用 Microsoft Entra ID。

启用和使用Microsoft Entra多重身份验证的建议方法是使用条件访问策略。使用条件访问可以创建和定义策略，用于对登录事件做出反应，并在向用户授予对应用程序或服务的访问权限之前请求更多的操作。

条件访问策略可应用于特定的用户、组和应用。目的是保护组织，同时为需要访问权限的用户提供适当的访问权限级别。

在本教程中，我们将创建一个基本的条件访问策略，以便在用户登录时提示其执行 MFA。在本系列的后面教程中，我们将使用基于风险的条件访问策略配置Microsoft Entra多重身份验证。

首先，按如下所述创建一个条件访问策略，并分配测试用户组：

我们已选择要将策略应用到的组。在下一部分，我们将配置应用策略的条件。

创建条件访问策略并分配测试用户组后，接下来请定义触发该策略的云应用或操作。这些云应用或操作是你确定需要额外处理（如提示执行多重身份验证）的方案。例如，可以要求在访问某个财务应用程序或使用管理工具时要求额外的验证提示。

对于本教程，请将条件访问策略配置为在用户登录时要求执行多重身份验证。

接下来，我们配置访问控制。使用访问控制可以定义授予用户访问权限所要满足的要求。他们可能需要使用经批准的客户端应用程序或与 Microsoft Entra ID 混合加入的设备。

在本教程中，请将访问控制配置为登录事件期间要求执行多重身份验证。

若要查看配置对用户产生的影响，可将条件访问策略设置为“仅限报告”；如果不想要立即使用策略，可将其设置为“关闭”。由于本教程面向测试用户组，因此让我们启用策略，然后测试Microsoft Entra多重身份验证。

让我们来检验您的条件访问策略和微软 Entra 多重身份验证的实际操作。

首先，登录不需要多因素身份验证的资源：

在 InPrivate 或 incognito 模式下打开新的浏览器窗口并浏览到 https://account.activedirectory.windowsazure.cn。

使用浏览器专用模式可以防止任何现有凭据影响此登录事件。
以非管理员测试用户（例如 testuser）的身份登录。请务必包含 @ 和用户帐户的域名。

如果这是你首次使用此帐户登录，系统会提示你更改密码。但是，系统不会提示你配置或使用多重身份验证。
关闭浏览器窗口。

你已将条件访问策略配置为需要对登录进行额外的身份验证。由于该配置，系统会提示使用Microsoft Entra多重身份验证，或者配置方法（如果尚未这样做）。通过登录到Microsoft Entra 管理中心来测试这一新要求：

在 InPrivate 或 incognito 模式下打开新的浏览器窗口，并登录到 Microsoft Entra 管理中心。
以非管理员测试用户（例如 testuser）的身份登录。请务必包含 @ 和用户帐户的域名。

需要注册和使用Microsoft Entra多重身份验证。
选择“下一步”开始执行该过程。

可以选择配置身份验证电话、办公电话或移动应用进行身份验证。 身份验证电话支持短信和电话呼叫，办公电话支持呼叫带分机号的电话号码，移动应用支持使用移动应用来接收身份验证通知或生成验证码。
根据屏幕上的说明完成所选多重身份验证方法的配置。
关闭浏览器窗口，然后再次登录到 Microsoft Entra 管理中心以测试配置的身份验证方法。例如，如果配置了一个移动应用用于身份验证，则会看到如下所示的提示。
关闭浏览器窗口。