将 Microsoft Entra MFA 与外部提供程序配合使用（预览版）

本文介绍了外部身份验证提供程序如何连接到 Microsoft Entra 多重身份验证（MFA）。

当用户登录时，将评估租户策略。 身份验证要求取决于用户尝试访问的资源。

多个策略可能会应用于登录，具体取决于其参数。 这些参数包括用户和组、应用程序、平台、登录风险级别等。

根据身份验证要求，用户可能需要使用另一个因素登录以满足 MFA 要求。 第二个因子的类型需要补充第一个因子的类型。

租户管理员将外部身份验证方法添加到 Microsoft Entra ID。 如果租户需要 MFA 的外部身份验证方法，则Microsoft Entra ID 验证两者后，登录被视为满足 MFA 要求：

• 第一个要素是通过 Microsoft Entra ID 完成的。
• 使用外部身份验证方法完成的第二个因素。

该验证满足两种或更多类型方法的 MFA 要求：

• 已知内容（知识）
• 已有内容（所有权）
• 你的身份信息（固有特性）

外部身份验证方法是在 OpenID Connect（OIDC）的基础上实现的。 此实现至少需要三个面向公众的终结点来实现外部身份验证方法：

• OIDC 发现端点，如提供程序元数据发现中所述
• 有效的 OIDC 身份验证终结点
• 发布提供程序公共证书的 URL

下面是关于使用外部身份验证方法的登录过程：

1. 用户尝试使用第一个因素（例如密码）登录受 Microsoft Entra ID 保护的应用程序。

2. Microsoft Entra ID 确定需要满足另一个认证因素（例如，如果条件访问策略需要多重身份验证（MFA））。

3. 用户选择外部身份验证方法作为第二个因素。

4. Microsoft Entra ID 会将用户的浏览器会话重定向到外部身份验证方法的 URL。

   从管理员创建外部身份验证方法时预配的发现 URL 中发现此 URL。

   应用程序提供过期或即将过期的令牌，其中包含用于标识用户和租户的信息。

5. 外部身份验证提供程序验证令牌是否来自 Microsoft Entra ID，并检查令牌的内容。

6. 外部身份验证提供程序可能会调用 Microsoft Graph 以获取有关用户的其他信息。

7. 外部身份验证提供程序执行它认为必要的任何作，例如使用凭据对用户进行身份验证。

8. 外部身份验证提供程序将用户重定向回具有有效令牌的 Microsoft Entra ID，包括所有必需的声明。

9. Microsoft Entra ID 验证令牌的签名是否来自配置的外部身份验证提供程序，然后检查令牌的内容。

10. Microsoft Entra ID 根据要求验证令牌。

11. 如果验证成功，则表示用户满足 MFA 要求。 用户可能还必须满足其他策略要求。

使用 Microsoft Entra ID 配置新的外部身份验证提供程序

若要发布 id_token_hint，外部身份验证方法需要一个表示集成的应用程序。 可以通过两种方式创建应用程序：

• 在每个使用外部提供程序的租户中。
• 作为一个多租户应用程序。 若要为其租户启用集成，特权角色管理员需要授予许可。

使用多租户应用程序可以降低每个租户出现配置错误的可能性。 提供程序可以在一个地方对元数据（例如答复 URL）进行更改，而不是要求每个租户自己进行更改。

若要配置多租户应用程序，提供程序管理员必须首先：

1. 创建 Microsoft Entra ID 租户（如果他们还没有）。

2. 在其租户中注册应用程序。

3. 在应用程序中，在“支持的帐户类型”下，选择任何组织目录中的帐户（任何 Microsoft Entra ID 租户 - 多租户）。

4. 为 Microsoft Graph 添加委托的权限 openid 和 profile 值。

5. 不要在此应用程序中发布任何范围。

6. 将外部标识提供者的有效 authorization_endpoint URL 作为回复 URL 添加到该应用程序。

   注释

   在应用程序注册中，将提供程序发现文档中提供的 authorization_endpoint 值作为重定向 URL 添加。 否则，会收到以下错误：“ENTRA IDSTS50161：无法验证外部声明提供程序的授权 URL！

应用程序注册过程会创建一个具有多个属性的应用程序。 在我们的场景中，你需要这些属性。

支持集成的另一个有效模型是为每个租户使用应用程序。 如果使用单租户注册，则租户管理员需要为单租户应用程序创建具有上表中属性的应用程序注册。

配置可选声明

提供程序可以使用 可选声明来 id_token配置更多声明。

将外部身份验证方法添加到 Microsoft Entra ID

外部标识提供者信息存储在每个租户的身份验证方法策略中。 提供程序信息被存储为externalAuthenticationMethodConfiguration类型的身份验证方法。

每个提供程序在策略的列表对象中都有一个条目。 每个条目都需要指明：

• 如果启用了该方法。
• 可以使用该方法的包含组。
• 无法使用该方法的那些被排除的群体。

要为用户登录设置 MFA 要求，具备条件访问管理员角色的用户可以创建一个包含“要求 MFA”许可的策略。 身份验证强度当前不支持外部身份验证方法。

详细了解如何在 Microsoft Entra 管理中心 中添加外部身份验证方法 。

Microsoft Entra ID 与提供程序的交互

后续部分介绍提供程序要求，并包括有关Microsoft Entra ID 如何与提供程序交互的示例。

发现提供程序元数据

外部身份提供者需要提供 OIDC 发现端点。 此终结点用于获取更多配置数据。

发现 URL 必须使用https方案，并且必须以/.well-known/openid-configuration结尾。 在此段之后，不能包含任何其他路径段、查询字符串或片段。 完整发现 URL 必须包含在创建外部身份验证方法时配置的发现 URL 中。

终结点返回托管在那里的提供者元数据 JSON 文档。 终结点还必须返回有效的内容长度标头。 元数据文档 必须 符合 OpenID Connect Discovery 1.0（包含勘误集 2），并且包含所有必需的 OIDC 元数据字段。

提供程序的元数据需要包括下表中列出的数据。 此扩展性方案需要这些值。 JSON 元数据文档可能包含更多信息。

有关包含提供者元数据值的 OIDC 文档，请参阅提供者元数据。

https://customcaserver.chinacloudsites.cn/v2.0/.well-known/openid-configuration
{
  "authorization_endpoint": "https://customcaserver.chinacloudsites.cn/api/Authorize",
  "claims_supported": [
    "email"
  ],
  "grant_types_supported": [
    "implicit"
  ],
  "id_token_signing_alg_values_supported": [
    "RS256"
  ],
  "issuer": "https://customcaserver.chinacloudsites.cn/v2.0",
  "jwks_uri": "https://customcaserver.chinacloudsites.cn/.well-known/jwks",
  "response_modes_supported": [
    "form_post"
  ],
  "response_types_supported": [
    "id_token"
  ],
  "scopes_supported": [
    "openid"
  ],
  "SigningKeys": [],
  "subject_types_supported": [
    "public"
  ]
}

https://customcaserver.chinacloudsites.cn/.well-known/jwks
{
  "keys": [
    {
      "kty": "RSA",
      "use": "sig",
      "kid": "A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0u",
      "x5t": "A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0u",
      "n": "jq277LRoE6WKM0awT3b...vt8J6MZvmgboVB9S5CMQ",
      "e": "AQAB",
      "x5c": [
        "cZa3jz...Wo0rzA="
      ]
    }
  ]
}

发现 URL 和颁发者示例

以下示例展示了在此集成中有效和无效的发现URL与颁发者的组合。

有效的发现 URL 和签发者对

• 发现 URL：https://example.com/.well-known/openid-configuration
  颁发者：https://example.com
• 发现 URL：https://example.com:8443/.well-known/openid-configuration
  颁发者：https://example.com:8443
• 发现 URL：https://example.com/tenant1/.well-known/openid-configuration
  颁发者：https://example.com/tenant1

发现 URL 和颁发者示例无效

• 发现 URL：https://example.com/.well-known/openid-configuration
  颁发者： https://example.com:443/ （在颁发者中显式添加的默认 HTTPS 端口）。
• 发现 URL：https://example.com:443/.well-known/openid-configuration
  颁发者： https://example.com/ （端口不匹配。）
• 发现 URL：https://example.com/.well-known/openid-configuration?client_id=0oasxuxkghOniBjlQ697
  颁发者： https://example.com （不能在发现 URL 中包含查询字符串。

提供程序元数据高速缓存

为了提高性能，Microsoft Entra ID 缓存提供程序返回的元数据，包括密钥。 每次Microsoft Entra ID 与外部标识提供者通信时，提供程序元数据缓存都会阻止发现调用。

此缓存每 24 小时刷新一次。 建议提供商按照以下步骤滚动更新其密钥：

1. 在中发布现有证书和jwks_uri。
2. 使用 现有证书 登录，直到Microsoft Entra ID 缓存刷新、过期或更新（每 2 天）。
3. 切换到使用 New Cert 登录。

我们不会发布密钥滚动更新的计划。 必须准备好依赖服务来处理即时和定期滚动更新。 我们建议使用为此而构建的专用库，例如 azure-activedirectory-identitymodel-extensions-for-dotnet。 有关详细信息，请参阅 Microsoft Entra ID 中的签名密钥滚动更新。

发现 Microsoft Entra ID 元数据

提供程序还需要检索 Microsoft Entra ID 的公钥，以验证 Microsoft Entra ID 颁发的令牌。

Microsoft Entra ID 元数据发现终结点：

• 全球 Azure：https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration
• 由 21Vianet 运营的 Microsoft Azure：https://login.partner.microsoftonline.cn/common/v2.0/.well-known/openid-configuration

可以使用令牌中的公钥标识符（JSON Web 签名（JWS）中的“kid”）来确定从 jwks_uri 属性检索到的密钥中应使用哪个密钥来验证 Microsoft Entra ID 令牌签名。

验证由 Microsoft Entra ID 颁发的令牌

有关如何验证Microsoft Entra ID 颁发的令牌的信息，请参阅 “验证 ID 令牌”。 对于发现元数据的使用者，无需执行特殊步骤。

可以在Microsoft的 令牌验证库中找到有关令牌验证的所有详细信息。 还可以通过浏览源代码来确定这些详细信息。 有关示例，请参阅 Azure 示例。

验证成功后，可以使用声明负载来获取有关用户及其租户的详细信息。

对外部标识提供者的 Microsoft Entra ID 调用

Microsoft Entra ID 使用 OIDC 隐式流 与外部标识提供者通信。 使用此流时，仅使用提供程序的授权终结点与提供程序通信。

为了通知提供程序关于 Microsoft Entra ID 针对哪个用户提出请求，Microsoft Entra ID 通过 id_token_hint 参数传递一个令牌。

此调用是通过 POST 请求进行的，因为将大量参数列表传递给提供程序。 大型列表可防止使用限制请求长度的 GET 浏览器。

下表中列出了身份验证请求参数。

重定向 URI 的示例

重定向 URI 应注册到提供程序带外。 可以发送的重定向 URI 为：

• 全球 Azure：https://login.microsoftonline.com/common/federation/externalauthprovider
• 由 21Vianet 运营的 Microsoft Azure：https://login.partner.microsoftonline.cn/common/federation/externalauthprovider

满足 MFA 的外部身份验证方法的示例

下面是外部身份验证方法满足 MFA 要求的示例。 此示例可帮助提供程序了解 Microsoft Entra ID 所需的声明。

Microsoft Entra ID 使用 acr 和 amr 值的组合来验证：

• 用于第二个因素的身份验证方法满足 MFA 要求。
• 用于 Microsoft Entra ID 登录的身份验证方法的类型，与用于完成第一因子的方法不同。

{
  "id_token": {
    "acr": {
      "essential": true,
      "values":["possessionorinherence"]
    },
    "amr": {
      "essential": true,
      "values": ["face", "fido", "fpt", "hwk", "iris", "otp", "pop", "retina", "sc", "sms", "swk", "tel", "vbm"]
    }
  }
}

默认 id_token_hint 声明

本部分介绍在向提供程序发出的请求中作为 id_token_hint 传递的令牌所需内容。 令牌可能包含的声明信息可能多于下表所示。

为了防止令牌用于提示以外的任何用途，它以过期状态发放。 令牌已签名，可以使用已发布的Microsoft Entra ID 发现元数据进行验证。

Microsoft Entra ID 中的可选声明

如果提供程序需要来自 Microsoft Entra ID 的可选声明，可以为以下项目配置可选声明：id_token、given_name、family_name、preferred_username、upn。 有关详细信息，请参阅 可选声明。

声明的推荐使用方式

我们建议使用 oid 和 tid 声明将提供程序端的帐户与 Azure 中的帐户相关联。 这两个声明对于 Azure AD 中的帐户来说一定是唯一的。

id_token_hint示例

下面是目录成员的示例 id_token_hint ：

{
  "typ": "JWT",
  "alg": "RS256",
  "kid": "C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1w"
}.{
  "ver": "2.0",
  "iss": "https://login.partner.microsoftonline.cn/aaaabbbb-0000-cccc-1111-dddd2222eeee/v2.0",
  "sub": "mBfcvuhSHkDWVgV72x2ruIYdSsPSvcj2R0qfc6mGEAA",
  "aud": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "exp": 1536093790,
  "iat": 1536093791,
  "nbf": 1536093791,
  "name": "Test User 2",
  "preferred_username": "testuser2@contoso.com"
  "oid": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
  }.

下面是租户中来宾用户的示例id_token_hint：

{
  "typ": "JWT",
  "alg": "RS256",
  "kid": "C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1w"
}.{
  "ver": "2.0",
  "iss": "https://login.partner.microsoftonline.cn/9122040d-6c67-4c5b-b112-36a304b66dad/v2.0",
  "sub": "mBfcvuhSHkDWVgV72x2ruIYdSsPSvcj2R0qfc6mGEAA",
  "aud": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "exp": 1536093790,
  "iat": 1536093791,
  "nbf": 1536093791,
  "name": "External Test User (Hotmail)",
  "preferred_username": "externaltestuser@hotmail.com",
  "oid": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
  }.

针对外部标识提供者的建议操作

建议外部身份提供者完成以下项目。 此列表并非详尽无遗，提供程序应完成其认为合适的其他验证步骤。

• 从请求中：

  • 确保按照 redirect_uri中所述发布 。
  • 确保配置的发现 URL 使用 HTTPS 并结尾 /.well-known/openid-configuration。 此外，请确保它不包含查询参数或片段标识符。 确保发行者的值与发现文档完全匹配。
  • 确保 client_id 为Microsoft Entra ID 分配了值，例如 ABCD。
  • 提供程序应首先验证 Microsoft Entra ID 为其呈现的内容。

• 来自 `id_token_hint` 中声明的内容：

  • （可选）调用 Microsoft Graph 以获取有关此用户的其他详细信息。 在这方面，oid和tid声明在id_token_hint中非常有用。 有关所提供的 id_token_hint声明的详细信息，请参阅 默认 id_token_hint 声明。

• 为提供商的产品执行任何其他身份验证活动。

• 根据用户作的结果和其他因素，提供程序随后将构造响应并将其发送回Microsoft Entra ID，如下一节中所述。

提供程序响应的 Microsoft Entra ID 处理

提供程序需要使用POST将响应发送回redirect_uri。 成功响应时应提供以下参数：

成功后，提供程序将为用户发出 id_token 值。 Microsoft Entra ID 使用已发布的 OIDC 元数据来验证令牌是否包含预期的声明，并执行 OIDC 所需的任何其他令牌验证。

支持的 acr 声明

支持的 amr 声明

Microsoft Entra ID 要求在满足多重身份验证 (MFA) 的条件下才能颁发带有 MFA 声明的令牌。 因此，只有具有不同类型的方法才能满足第二个因素要求。 如前所述，可用于满足第二个因素的不同方法类型是知识、所有权和固有特征。

Microsoft Entra ID 根据下表验证类型映射。

如果找不到令牌问题，并且向用户颁发令牌，则 Microsoft Entra ID 会认为 MFA 得到满足。 否则，用户的请求将失败。

失败通过发出错误响应参数来指示。

Microsoft Entra ID 将请求视为成功的条件是：响应中存在 id_token parameter，且令牌有效。 否则，请求将被视为失败。 Microsoft Entra ID 由于条件访问策略的要求，无法尝试原始身份验证。

在重定向到提供程序后大约 5 分钟，Microsoft Entra ID 将放弃身份验证尝试的状态。

Microsoft Entra ID 错误响应处理

Azure 服务使用 correlationId 值来关联各种内部和外部系统的调用。 它充当可能涉及多个 HTTP 调用的整个操作或流程的公共标识符。 当在任何操作过程中发生错误时，响应将包含一个名为Correlation ID的字段。

联系 Microsoft 支持或类似服务时，请提供 Correlation ID 值。 它有助于更快地访问遥测和日志。

例如：

ENTRA IDSTS70002: Error validating credentials. ENTRA IDSTS50012: External ID token from issuer 'https://sts.XXXXXXXXX.com/auth/realms/XXXXXXXXXmfa' failed signature verification. KeyID of token is 'A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0u'

Trace ID: 0000aaaa-11bb-cccc-dd22-eeeeee333333

Correlation ID: aaaa0000-bb11-2222-33cc-444444dddddd

Timestamp: 2023-07-24 16:51:34Z

自定义控件和外部身份验证方法

在Microsoft Entra ID 中，外部身份验证方法和条件访问自定义控件可以并行运行，而客户则准备并迁移到外部身份验证方法。

当前通过使用自定义控件与外部提供程序集成的客户可以继续使用它们以及他们配置用于管理访问的任何条件访问策略。 建议管理员在迁移期间创建一组并行的条件访问策略：

• 策略应使用 要求多重身份验证 授权控制，而不是自定义控制授予。

  注释

  外部身份验证方法不满足基于身份验证强度（包括内置 MFA 强度）的授权控制。 策略应仅使用 “需要多重身份验证”进行配置。

• 可以先对一部分用户测试新策略。 测试组从需要自定义控件的策略中排除，并包含在需要 MFA 的策略中。 如果管理员确信外部身份验证方法满足需要 MFA 的策略，则管理员可以使用 MFA 授权将策略中的所有必需用户包含在策略中。 为自定义控件配置的策略可以移动到 “关闭 ”设置。

集成支持

如果在生成外部身份验证方法与 Microsoft Entra ID 集成时遇到任何问题，Microsoft客户体验工程（CxE）独立解决方案供应商（ISV）可能会提供帮助。 若要与 CxE ISV 团队联系，请提交 请求以获取帮助。

参考文献

• OAuth2.0 和 OIDC 规范

术语表

相关内容

• 有关如何在 Microsoft Entra 管理中心配置外部身份验证方法的详细信息，请参阅 在 Microsoft（预览版）中管理外部身份验证方法。