配置 Microsoft Entra 多重身份验证设置

若要为 Microsoft Entra 多重身份验证（MFA）自定义最终用户体验，可以配置用于报告可疑活动的选项。 下表介绍了 Microsoft Entra MFA 设置，子节更详细地介绍了每个设置。

报告可疑活动

收到未知和可疑的 MFA 提示时，用户可以使用 Microsoft Authenticator 或其电话报告活动。 报告可疑活动 与 Microsoft Entra ID Protection 集成，用于风险驱动修正、报告和最低特权管理。

将 MFA 提示报告为可疑活动的用户会被设为“高用户风险”。 管理员可以使用基于风险的策略来限制这些用户的访问权限，或启用自助式密码重置 (SSPR)，以便用户自行修正问题。

如果没有基于风险的策略的 Microsoft Entra ID P2 许可证，则可以使用风险检测事件手动识别和禁用受影响的用户，或使用具有 Microsoft Graph 的自定义工作流设置自动化。 有关调查和修正用户风险的详细信息，请参阅：

• 如何：调查风险
• 如何：修正风险并取消阻止用户

要从身份验证方法策略“设置”启用“报告可疑活动”，请执行以下操作：

1. 至少以身份验证策略管理员的身份登录到 Microsoft Entra 管理中心。
2. 浏览到 Entra ID>身份验证方法>设置。
3. 将“报告可疑活动”设置为“已启用”。 如果选择“Microsoft 托管”，则该功能将保持禁用状态。 有关 Microsoft 托管值的详细信息，请参阅保护 Microsoft Entra ID 中的身份验证方法。
4. 选择“所有用户”或特定组。
5. 如果还上传租户的自定义问候语，请选择“报告代码”。 报告代码是用户在手机中输入来报告可疑活动的数字。 仅当身份验证策略管理员上传自定义问候语时，报告代码才适用。 否则，默认代码为 0，而不考虑策略中指定的任何值。
6. 单击“保存” 。

为具有 Microsoft Entra ID P1 许可证的租户修正风险

当用户将 MFA 提示报告为可疑时，该事件会显示在登录日志中（作为用户拒绝的登录）、审核日志和风险检测报告中。

还可以使用 Microsoft Graph 查询风险检测和标记为有风险的用户。

对于手动修正，管理员或支持人员可以要求用户使用自助式密码重置 (SSPR) 重置其密码，或代表用户执行此操作。 对于自动修正，请使用 Microsoft Graph API，或使用 PowerShell 创建脚本以更改用户密码、强制执行 SSPR、撤销登录会话或暂时禁用用户帐户。

为具有 Microsoft Entra ID P2 许可证的租户修正风险

除了 Microsoft Entra ID P2 许可证选项外，拥有 Microsoft Entra ID P2 许可证的租户还可以使用基于风险的条件访问策略自动修正用户风险。

在“条件”>“用户风险”下配置查看用户风险的策略。 查找风险 = 高的用户，阻止他们登录或要求其重置其密码。

有关详细信息，请参阅：登录基于风险的条件访问策略。

OATH 令牌

Microsoft Entra ID 支持使用每 30 或 60 秒刷新一次代码的 OATH-TOTP SHA-1 令牌。 你可以从所选的供应商处购买这些令牌。

OATH TOTP 硬件令牌通常附带一个在令牌中经过预编程的密钥或种子。 你需要将这些密钥输入 Microsoft Entra ID 中，如以下步骤所述。 密钥限制为 128 个字符，可能不会与所有令牌兼容。 密钥只能包含字符 a-z 或 A-Z 以及数字 1-7。 而且，必须以 Base32 编码。

也可以在软件令牌设置流中使用 Microsoft Entra ID 设置可重新设定种子的可编程 OATH TOTP 硬件令牌。

OATH 硬件令牌目前作为公共预览版的一部分受支持。 有关预览版的详细信息，请参阅 Microsoft Azure 预览版补充使用条款。

获取令牌后，需要以逗号分隔值 (CSV) 的文件格式上传令牌。 包括 UPN、序列号、密钥、时间间隔、制造商和型号，如以下示例中所示：

upn,serial number,secret key,time interval,manufacturer,model
Helga@contoso.com,1234567,1234567abcdef1234567abcdef,60,Contoso,HardwareKey

1. 以全局管理员身份登录到 Microsoft Entra 管理中心。
2. 转到 Entra ID>多重身份验证>OATH 令牌，并上传 CSV 文件。

根据 CSV 文件的大小，这可能需要花费几分钟来处理。 选择“刷新”以获取状态。 如果文件中有任何错误，则可以下载 CSV 文件，其中会列出相关错误。 下载的 CSV 文件中的字段名称与上传的版本不同。

解决所有错误后，管理员应为令牌选择“激活”，然后输入令牌上显示的 OTP，就可以激活每个密钥。

用户最多可以组合使用 5 个 OATH 硬件令牌或验证器应用程序（如配置为可随时使用的 Microsoft Authenticator 应用）。

电话呼叫设置

如果用户接到了 MFA 提示电话，则可以配置他们的体验，例如来电显示或他们听到的问候语音。

在美国，如果尚未配置 MFA 来电显示，则 Microsoft 语音呼叫的号码如下。 使用垃圾邮件筛选器的用户应排除这些号码。

默认数字： +1（855） 330-8653、 +1（855） 336-2194、 +1（855） 341-5605

下表列出了不同国家/地区的更多号码。

若要配置自己的来电显示号码，请完成以下步骤：

1. 转到 Entra ID>多重身份验证>电话呼叫设置。
2. 将“MFA 来电显示号码”设置为你希望用户在其电话上看到的号码。 仅允许美国的号码。
3. 选择“保存”。

自定义语音消息

你可以使用自己的录音或问候语进行 Microsoft Entra 多重身份验证。 这些消息可与默认的 Microsoft 录制内容一起使用，也可以取而代之。

在开始之前，请注意以下限制：

• 支持的文件格式为 .wav 和 .mp3。
• 文件大小上限是 1 MB。
• 身份验证消息应少于 20 秒。 超过 20 秒的消息可能导致验证失败。 如果用户在消息播放结束前未作出响应，则验证超时。

自定义消息语言行为

向用户播放自定义语音消息时，消息的语言取决于以下因素：

• 用户的语言。
  • 用户的浏览器检测到的语言。
  • 其他身份验证方案的操作方式可能有所不同。
• 任何可用的自定义消息的语言。
  • 添加自定义消息时，由管理员选择此语言。

例如，如果只有一条自定义消息，并且该消息为德语：

• 以德语进行身份验证的用户将听到自定义德语消息。
• 以英语进行身份验证的用户将听到标准英语消息。

自定义语音消息默认值

可使用以下示例脚本创建你自己的自定义消息。 如果未配置自己的自定义消息，则默认使用这些短语。

设置自定义消息

若要使用自己的自定义消息，请完成以下步骤：

1. 转到 Entra ID>多重身份验证>电话呼叫设置。
2. 选择“添加问候语”。
3. 选择问候的“类型”，例如“问候语(标准)”或“身份验证成功”。
4. 选择“语言”。 请参阅上一部分，了解自定义消息语言行为。
5. 浏览并选择要上传的 .mp3 或 .wav 声音文件。
6. 选择“添加”，然后选择“保存”。

MFA 服务设置

可以在服务设置中设置应用密码、受信任的 IP、验证选项，并且可以记住受信任设备上的多重身份验证信息。 此为旧门户，

可以通过在 Microsoft Entra 管理中心中依次访问 Entra ID>、多重身份验证>、入门>、配置> 和 其他基于云的 MFA 设置来访问服务设置。 此时将打开一个窗口或选项卡，其中包含其他服务设置选项。

受信任的 IP

由于存在 IPv6 支持和其他改进，建议使用位置条件并结合条件访问来配置 MFA。 有关位置条件的详细信息，请参阅在条件访问策略中使用位置条件。 有关定义位置和创建条件访问策略的步骤，请参阅条件访问：按位置阻止访问。

对于从定义的 IP 地址范围登录的用户，Microsoft Entra 多重身份验证的受信任 IP 功能也会绕过 MFA 提示。 你可以为本地环境设置受信任的 IP 范围。 当用户位于这些位置之一时，系统不会显示 Microsoft Entra 多重身份验证提示。 受信任的 IP 功能需要Microsoft Entra ID P1 版本。

如果你的组织要利用 NPS 扩展向本地应用程序提供 MFA，则源 IP 地址将始终显示为身份验证尝试流经的 NPS 服务器。

受信任的 IP 绕过多重身份验证的功能仅在公司 Intranet 内部有效。 如果选择了“所有联合用户”选项，而某个用户从公司 Intranet 以外登录，则该用户必须使用多重身份验证进行身份验证。 即使用户提供了 AD FS 声明，验证过程也相同。

企业网络内部的用户体验

如果禁用了受信任 IP 功能，则必须执行多重身份验证才能完成浏览器中的流程。 早期的富客户端应用程序需要设置应用密码。

如果使用受信任 IP，则无需执行多重身份验证即可完成浏览器中的流程。 如果用户尚未创建应用密码，则无需为早期的富客户端应用程序提供应用密码。 使用应用密码后，系统将始终要求提供该密码。

企业网络外部的用户体验

无论是否定义了受信任 IP，都需要执行多重身份验证才能完成浏览器中的流程。 早期的富客户端应用程序需要设置应用密码。

使用条件访问启用命名位置

可以遵循以下步骤使用条件访问规则来定义命名位置：

1. 最低以条件访问管理员身份登录到 Microsoft Entra 管理中心。
2. 导航到 Entra ID>条件访问>命名位置。
3. 选择“新建位置”。
4. 输入位置的名称。
5. 选择“标记为受信任位置”。
6. 以 CIDR 表示法输入环境的 IP 范围。 例如，40.77.182.32/27。
7. 选择“创建” 。

使用条件访问启用受信任的 IP 功能

若要使用条件访问策略启用受信任的 IP，请完成以下步骤：

1. 最低以条件访问管理员身份登录到 Microsoft Entra 管理中心。

2. 导航到 Entra ID>条件访问>命名位置。

3. 选择“配置多重身份验证受信任 IP”。

4. 在“服务设置”页的“受信任的 IP”下，选择以下选项之一：

   • 对于联合用户从我的 Intranet 发起的请求：选中此复选框以选择此选项。 所有从公司网络登录的联合用户可通过使用由 AD FS 颁发的声明绕过多重身份验证。 请确保 AD FS 具有可将 intranet 声明添加到相应流量的规则。 如果规则不存在，请在 AD FS 中创建以下规则：

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

     注意

     “对联合身份验证用户通过我的 Intranet 发出的请求跳过多重身份验证”选项会影响位置的条件访问评估。 如果选择了该选项，则任何含 insidecorporatenetwork 声明的请求都将视为来自受信任的位置。

   • 对于来自特定公共 IP 范围的请求：使用 CIDR 表示法在文本框中输入 IP 地址，以选择此选项。

     • 若要选择 xxx.xxx.xxx.1 到 xxx.xxx.xxx.254 范围内的 IP 地址，请使用 xxx.xxx.xxx.0/24 等表示法。
     • 若要选择单个 IP 地址，请使用 xxx.xxx.xxx.xxx/32 等表示法。
     • 可输入至多 50 个 IP 地址范围。 从这些 IP 地址登录的用户会绕过多重身份验证。

5. 选择“保存”。

使用服务设置启用受信任的 IP 功能

如果不想使用条件访问策略来启用受信任 IP，则可使用以下步骤配置 Microsoft Entra 多重身份验证的服务设置：

1. 至少以身份验证策略管理员的身份登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>多重身份验证>其他基于云的 MFA 设置。

3. 在“服务设置”页的“受信任的 IP”下，选择以下两个选项中的一个或两个：

   • 对于来自我的 Intranet 的联合用户请求：选中此复选框以选择此选项。 所有从公司网络登录的联合用户可使用由 AD FS 颁发的声明绕过多重身份验证。 请确保 AD FS 具有可将 intranet 声明添加到相应流量的规则。 如果规则不存在，请在 AD FS 中创建以下规则：

     c:[Type== "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork"] => issue(claim = c);

   • 对于来自特定 IP 地址子网范围的请求：使用 CIDR 表示法在文本框中输入 IP 地址，以选择此选项。

     • 若要选择 xxx.xxx.xxx.1 到 xxx.xxx.xxx.254 范围内的 IP 地址，请使用 xxx.xxx.xxx.0/24 等表示法。
     • 若要选择单个 IP 地址，请使用 xxx.xxx.xxx.xxx/32 等表示法。
     • 可输入至多 50 个 IP 地址范围。 从这些 IP 地址登录的用户会绕过多重身份验证。

4. 选择“保存”。

验证方法

可以在服务设置门户中选择可供用户使用的验证方法。 在用户为其帐户注册 Microsoft Entra 多重身份验证时，将会从你已启用的选项中选择其首选验证方法。 有关用户注册过程的指导，请参阅为我的帐户设置多重身份验证。

可使用以下验证方法：

有关详细信息，请参阅 Microsoft Entra ID 提供了哪些身份验证和验证方法？。

启用和禁用验证方法

若要启用或禁用验证方法，请完成以下步骤：

1. 至少以身份验证策略管理员的身份登录到 Microsoft Entra 管理中心。
2. 浏览到 Entra ID>用户页面。
3. 选择“每用户 MFA”。
4. 在页面顶部的“多重身份验证”下，选择“服务设置”。
5. 在“服务设置”页的“验证选项”下，选中或清除相应的复选框。
6. 选择“保存”。

记住多重身份验证

通过“记住多重身份验证”功能，用户在使用多重身份验证成功登录到设备后，可在指定天数内绕过后续验证。 若要增强可用性并尽量减少用户必须在给定设备上执行 MFA 的次数，请选择 90 天或更短的持续时间。

此功能如何工作

如果用户在登录时选择“X 天内不再询问”选项时，“记住多重身份验证”功能将在浏览器上设置持久性 Cookie。 在 Cookie 过期之前，系统不会提示用户再次从该浏览器进行 MFA。 如果用户在同一设备上打开不同浏览器或清除其 Cookie，系统将提示他们重新进行验证。

非浏览器应用程序上不会显示“X 天内不再询问”选项，无论该应用是否支持新式身份验证。 这些应用使用每小时提供新访问令牌的刷新令牌。 在验证刷新令牌时，Microsoft Entra ID 会检查上次多重身份验证是否发生在指定的天数内。

此功能可以减少 Web 应用的身份验证次数，通常情况下每次使用 Web 应用时都会提示验证。 如果配置的持续时间较短，该功能可以增加通常每隔 180 天发出提示的新式身份验证客户端的身份验证次数。 与条件访问策略结合使用时，还可能会增加身份验证的次数。

启用“记住多重身份验证”

若要启用和配置可让用户记住其 MFA 状态并绕过提示的选项，请完成以下步骤：

1. 至少以身份验证策略管理员的身份登录到 Microsoft Entra 管理中心。
2. 浏览到 Entra ID>用户页面。
3. 选择“每用户 MFA”。
4. 在页面顶部的“多重身份验证”下，选择“服务设置”。
5. 在“服务设置”页上的“记住多重身份验证”下，选择“允许用户在其信任的设备上记住多重身份验证”选项。
6. 设置允许受信任设备绕过多重身份验证的天数。 为确保最佳用户体验，请将持续时间延长至 90 天或更长。
7. 选择“保存”。

将设备标记为受信任的

启用“记住多重身份验证”功能后，用户可在登录时选择“不再询问”，以将设备标记为受信任。

后续步骤

要了解详细信息，请参阅Microsoft Entra ID 提供了哪些身份验证和验证方法？