AzureAD 自定义多因素身份验证答案

【问题标题】：AzureAD custom multi factor authAzureAD 自定义多因素身份验证
【发布时间】：2020-02-21 16:53:16
【问题描述】：

我有一个单页应用程序，它当前使用 Azure AD B2C 身份验证来允许用户登录，然后使用身份验证 cookie 直接与内部服务对话。现在要求我们在现有的 AD 身份验证之上使用两个因素身份验证。我们已经推出了自己的“第二因素”身份验证，我们需要能够与之集成（我更愿意使用 Azure 提供的内置 MFA，但对于这个问题，假设这不是一个选项） .

我们的问题是，在用户成功使用 AD 进行身份验证之前，我们不想调用我们的 MFA 服务 - 当然，一旦他们成功了，他们就已经通过了身份验证，但为时已晚。

当 Azure AD 通过回调返回给我们时（我们正在使用 CookieAuthenticationEvents），有没有办法推迟访问令牌可用，直到我们自己的第二个因素身份验证步骤成功？

【问题讨论】：

我认为您必须为此使用自定义策略，才能在 B2C 中执行 2FA
这个问题有什么更新吗？

标签： azure-active-directory two-factor-authentication multi-factor-authentication

【解决方案1】：

正如 juunas 建议的那样，尝试使用主要用于解决复杂场景的自定义策略。

参考：

Custom policies in Azure Active Directory B2C

【讨论】：

这是我们走的路线 - 一旦使用 AzureAD 进行身份验证，前端 JS 会挑战用户并使用我们的 MFA 服务验证他们的代码，该服务会返回一个“mfa 令牌”，然后我们在所有非公共 api 端点上实施了一个策略，它验证 AzureAD JWT 并调用我们的 MFA 服务来验证“mfa 令牌”。我还强烈鼓励我们在整个过程中使用 AzureAD，但这个决定不在我的掌控之中。