身份验证是一个安全过程，在授予对应用、服务、设备或网络的访问权限之前验证用户的标识。
Microsoft Entra ID支持的身份验证方法
下表概述了何时可以使用身份验证方法进行主要身份验证（第一个因素）、使用Microsoft Entra多重身份验证（MFA）和自助密码重置（SSPR）进行辅助身份验证。
| 方法 | 主要身份验证 | 辅助身份验证 | SSPR |
|---|---|---|---|
| 基于证书的身份验证 | 是的 | MFA | 否 |
| 电子邮件 OTP | 否 | SSPR 和登录2 | SSPR |
| 外部多因素身份验证 (MFA) | 否 | MFA | 否 |
| Microsoft Authenticator无密码 | 是的 | 否 | 否 |
| Microsoft Authenticator推送通知 | 是的 | MFA | SSPR |
| 密码 | 是的 | 否 | 否 |
| 短信登录 | 是的 | MFA | SSPR |
| 软件 OATH 令牌 | 否 | MFA | SSPR |
| 临时访问密码 (TAP) | 是的 | MFA | 否 |
| 语音通话 | 否 | MFA | SSPR |
| Windows Hello 企业版 | 是的 | MFA1 | 否 |
1如果为用户启用了传输钥匙（FIDO2），并且该用户已注册传输钥匙，那么Windows Hello 企业版可以作为提升身份验证级别的MFA凭据。
2电子邮件 OTP 可用于 自助密码重置（SSPR）的租户成员。 还可以 为来宾用户进行登录配置。
防钓鱼身份验证方法
虽然具有短信、电子邮件 OTP 或验证器应用的传统 MFA 极大地提高了对仅密码系统的安全性，但这些选项引入了摩擦，需要用户执行其他步骤，例如输入代码、批准推送通知或使用验证器应用。 此外，这些 MFA 选项很容易受到远程网络钓鱼攻击。 在远程网络钓鱼攻击中，攻击者使用社交工程和 AI 驱动的工具窃取标识凭据（如密码或一次性代码），而无需对用户的设备进行物理访问。
Microsoft 建议使用抗网络钓鱼的身份验证方法，例如 Windows Hello 企业版 或基于证书的身份验证 (CBA)，因为这些方法可提供最安全的登录体验。
Microsoft Entra ID中提供了以下防钓鱼身份验证方法：
- Windows Hello 企业版
- 适用于 macOS 的平台凭据
- 基于证书的身份验证 （CBA）