主页 / server / 问题 / 1149107
Accepted
Joel Coel
Asked: 2023-12-05 01:38:57 +0800 CST

MS Entra 用户被错误地标记为完成校对，并且无法完成 MFA 设置

  • 772

我正准备使用 Entra/AD FS 为一组新用户提供 MFA 身份验证，但遇到了一些麻烦（幸运的是仍在测试阶段！）

该环境是本地 AD/AD FS 服务器 (2019)，与 P1 同步到 Entra 以支持 MFA。这适用于大多数用户。当用户激活新帐户时，他们将根据文档重定向到位于 mysignins.micrsoft.com/security-info 的 MS“ProofUp”流程，并可以完成注册/身份验证。它允许他们最初绕过 MFA 要求到达“mysignins.micrsoft.com/security-info”页面，直到提供其他因素（这是应该的）。

然而，现在有一类用户来到我们这里，他们已经拥有 Microsoft Authenticator 应用程序，并且已经使用我们的“工作或学校帐户”登录了该应用程序，但尚未实际完成 MFA 注册应用程序我们的 Azure/Entra 租户。值得注意的是，该应用程序根本不会出现在 Entra 管理控制台中用户的“身份验证方法”部分中。这些学生（我们是一所大学）在我们要求学生 MFA 之前，使用该应用程序通过外部服务进行 MFA，但我们现在不再使用该服务。

这些用户无法加载 mysignins.micrsoft.com/security-inf ProofUp 页面，而是进入重定向循环，他们不断地返回我们的 AD FS 站点，表示他们需要完成 MFA 注册。

AD FS MFA 所需的屏幕截图

关键是用户永远不会看到实际的错误消息。他们只是无法越过要求他们注册 MFA 令牌的 AD FS 页面。他们为前进所做的任何事情都会将他们重新引导回这一点。此外，这些用户在 Entra 中的登录日志只会显示“成功”结果，除非他们实际上输入了错误的密码，即使这些结果是在我们为用户启用 MFA 要求之前（或者在我们因以下原因而释放它们之后）失败）。

更新：

我现在可以通过以下步骤按需为新测试用户重新创建此内容：

  1. 在本地 Active Directory 中创建用户
  2. 确保用户尚不需要 MFA 并让它同步到 Azure AD/Entra
  3. 使用尚未在 Entra 注册的测试移动设备
  4. 在设备上全新安装 MS Authenticator 应用程序（首先将其完全删除，如果已存在则重新安装，以便清除之前测试的所有本地数据）
  5. 使用步骤 1 中创建的用户凭据作为工作/学校帐户登录身份验证器应用
  6. 关闭并退出应用程序。
  7. 将用户设置为要求我们的 AD FS 依赖方之一进行 MFA（我们通过在 AD 中添加组成员身份来实现此目的）
  8. 让用户尝试访问受保护的应用程序

重要的是步骤 5 和 6 发生在步骤 7 之前。

AD FS 现在将正确确定用户需要完成 MFA；它会根据文档向他们显示一条消息，然后在 5 秒后尝试将他们重定向到 Entra ProofUp 页面。但验证页面将不允许访问并立即将其重定向回 AD FS 以重复该循环。用户无法完成 ProofUp 过程。

在管理控制台中为用户使用如下所示的“需要重新注册多重身份验证”按钮无法解决此问题。

显示按钮的部分屏幕截图

到目前为止，我有两种方法可以推动这些用户前进：

  1. 手动输入他们的附加因素（例如手机）。我们很快就会通过这种方式增加数百名用户，但我不一定有这些手机号码。我需要更好的东西。
  2. 专门更改 Office 365 应用程序的访问控制策略，以不需要 MFA。这并不像乍看起来那么糟糕，因为我们使用 Google Workspace 来处理电子邮件和大多数文档服务，但它显然也不好，而且我不想长期忍受这种情况。

如何清除这些用户半完成的身份验证器应用程序注册，或以其他方式允许他们继续进行 MFA 注册？

我不是第一个遇到这种情况的人，因为任何跳过正常流程中的步骤并试图过早添加身份验证器应用程序的人都可能会遇到这种情况。

entra-id

2 个回答

  1. 导航到 Azure Active Directory > 用户 > 所有用户 > 选择要对其执行操作的用户 > 选择身份验证方法 > 需要重新注册 MFA https://learn.microsoft.com/en-us/entra/identity/authentication /howto-mfa-userdevicesettings#next-steps

    更新：这是 Microsoft 支持人员也用来分析 adfs 日志的脚本。可能会有帮助 https://github.com/CSS-Identity/ADFS-Diag/

    • 0
  2. Best Answer

    这就是我们解决这个问题的方法：

    我向 AD 添加了一个名为 的附加组来管理 MFA MFA_ProofUpBypass。然后，我在 AD FS 中创建了一个新的访问控制策略，具有三个条件：

    1. 允许除 MFA_Required 组之外的所有人
    2. 允许来自 MFA_Required 组的用户并要求多重身份验证（MFA_ProofUpBypass 组除外）
    3. 允许来自 MFA_ProofUpByPass 组的用户

    访问控制策略图像

    成功测试该策略后，我将其应用于 AD FS 中的 Microsoft 365 依赖方（并且仅此依赖方）。

    现在，当我们从这个群体中添加新用户时（每周大约 30 个批次，因为我们只有一个两人支持团队，他们也仍然需要处理常规请求），我们首先将用户添加到同时组。MFA_RequiredMFA_ProofUpBypass

    这样，这些用户将能够完成其 MFA 注册过程，并且现有 MFA 用户不会失去 Microsoft 365 服务的帐户保护。

    然后，据我们所知，每个批次均已成功完成注册，我们可以将它们从MFA_ProofUpBypass组中删除，因此它们还将获得 Microsoft 365 服务的 MFA 保护。

    展望未来，由于我们遇到了正常的用户流失和问题，我们可以继续使用该MFA_ProofUpByass小组来帮助支持用户解决此类问题以及转移到新手机等问题。

    我仍然想完全解决这个问题，但我没时间了（有点 - 我们要到下学期才开始，但我需要高层领导在假期前的本周批准迁移计划）。

    • 0

相关问题