☰

已禁用的用户无法通过 ADFS + Multi-Factor Server 成功进行身份验证

tag-icon • tag-icon active-directory azure authentication adfs
已禁用的用户无法通过 ADFS + Multi-Factor Server 成功进行身份验证

我们正在使用 Azure Multifactor 身份验证的本地版本。当我通过 ADFS 进行身份验证时，它会强制每个用户使用 MFA，即使我已禁用用户成功进行身份验证。它给我一个错误，即身份验证方法不适用于已禁用的用户。目前，我仅在外部访问应用程序时强制执行。我遗漏了什么吗？我希望我已禁用的用户能够绕过 MFA。

ADFS 配置屏幕截图

答案1

以下是我为实现此目的所做的事情。您可以在 powershell 中设置规则，而不是使用 gui。将 Relying-Part-Trust 和 group-sid 替换为您的

$rp = Get-AdfsRelyingPartyTrust –Name 'Relying-Party-Trust'
Set-AdfsRelyingPartyTrust –TargetRelyingParty $rp -additionalauthenticationrules 
'[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid", Value 
== "group-sid"] && [Type == 
"http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value == "false"] 
=> issue(Type = 
"http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", Value 
= "http://schemas.microsoft.com/claims/multipleauthn");'

答案2

您需要添加额外的声明来区分互联网和外联网。

https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/operations/configure-authentication-policies#to-configure-multi-factor-authentication-globally

相关内容