azure - 如何测试azure ad b2c的锁定策略

Question

我们使用 Azure AD B2C 作为我们项目的身份验证提供程序。 AD B2C 中缺少的一项功能是在多次无效登录尝试时锁定帐户。似乎有一种算法会在一段时间内暂时阻止登录请求，但在该时间后将允许再次登录。

而且，根据文档:“通过使用各种信号，Azure AD B2C 分析请求的完整性。Azure AD B2C 旨在智能地区分目标用户与黑客和僵尸网络。Azure AD B2C 提供了一种复杂的策略，可以根据输入的密码锁定帐户，以防出现以下情况:一次攻击。”

引用https://learn.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-reference-threat-management#password-attacks

帐户将如何被锁定？如何测试它是否真的会发生？

Answer 1

今天，尝试次数从 10 次开始，之后根据每次尝试登录的性质进行自行调整。其他风险(例如来自可疑 IP 地址的攻击)的处理方式有所不同。锁定时间随着时间的推移而增加，从而对自动攻击者产生摩擦。