结合ADFS 3.0和Azure MFA实现Office 365多因素身份认证


在Office 365有如下三种身份认证模型:

云身份。仅在 Office 365 中管理用户帐户。不需要本地服务器来管理用户,所有操作都在云中完成。

同步身份。将本地目录对象与 Office 365 同步,在本地管理你的用户。也可以同步密码,以便用户在本地和在云中具有相同的密码,但用户将必须重新登录才能使用 Office 365。

联合身份。将本地目录对象与 Office 365 同步,在本地管理你的用户。用户在本地和在云中具有相同的密码,他们无需重新登录即可使用 Office 365。这通常称为单一登录。

根据Office 365使用的身份认证的不同,实现多因素身份认证的方式也会有所不同。

如果使用云身份或者同步身份认证模型,我们可以使用Office 365自带的多重身份验证功能,具体信息可以参考https://support.office.com/en-us/article/Set-up-multi-factor-authentication-for-Office-365-users-8f0454b2-f51a-4d9c-bcde-2c48e41621c6?ui=en-US&rs=en-US&ad=US

使用联合身份认证模型时,可以在ADFS上配置附加身份验证方法来实现多因素身份认证。
本文会介绍使用联合身份模型时如何结合ADFS 3.0和Azure MFA实现Office 365多因素身份认证
这一场景。

为了结合ADFS 3.0和Azure MFA功能,我们需要进行如下配置

1. 登陆到Azure,选择Active Directory ->MULTI-FACTOR AUTH PROVIDERS

2. 选择New -> APP Services->ACTIVE DIRECTORY->MUTIL-FACTOR AUTH PROVIDER

3. 选择Quick Create,输入名称,选择使用模型,需要绑定的目录服务,点击Create

此时就在Azure上建立好了为ADFS提供附加身份验证方法的Provider,下一步需要在ADFS服务器部署Azure 多因素身份认证服务器。

4.选中刚才建立完成的Provider,选择manage ,在打开的页面选择DOWNLOADS

5. 点击Download

6. 在ADFS服务器打开下载好的安装文件,选择Next,Finish


7. 此时会打开配置向导,选择Skip using the Authentication Configuration Wizard,点击next

8. 回到Azure 多因素身份认证服务器下载页面,选择Generate activation credentials,记录下生成的账号

9,回到ADFS服务器上的ADFS多因素身份认证服务器界面,输入上一步得到的账户
选择activate

点击 OK

10. 在ADFS多因素身份认证服务器界面选择users ->import form active directory来导入需要启用多因素身份验证的用户

11.选择需要导入的用户,点击IMPORT

12. 在users现在就可以看到导入的用户了,双击打开用户属性,在Phone中输入用户电话号码(选择正确的country code),选择Enabled

13.在管理页面中选择adfs,选择如下 点击 install AD FS Adapter

选择 Next

在ADFS多因素认证服务器安装目录下找到Register-MultiFactorAuthenticationAdfsAdapter.ps1,运行该脚本,此时就完整了AD FS adapter的安装工作。

14.重启AD FS服务,在AD FS管理控制台选择Authentication Policies,在Mutil-Factor Authentication下选择 Edit

15. 选择 Azure Multi-Factor Authentication Server

16. 在ADFS的控制台选择Authentication Policies->Per Relying Party Trust ->Microsoft Office 365 Identity Platform,右键选择Edit Custom Multi-factor Authentication,选择Add添加需要进行多因素身份认证的用户(需要在ADFS多因素身份认证服务器Users添加好电话号码)

此时结合ADFS 3.0和Azure MFA实现Office 365多因素身份认证配置就完成了。

此时用配置完成多因素身份认证的用户登录Office 365,在ADFS进行身份认证时会有如下身份认证选项。

此时选择第一项会拨打该用户电话,第二项会发送短信给用户,当用户应答后即可登录访问对应的Office 365资源

Qitao Xing

合作伙伴技术顾问


Comments (0)

Skip to main content