azure - 通过 REST API 处理 Azure AD MFA

Question

我正在开发一个集成解决方案，其中我将使用图形 API 在 Azure AD 中创建用户。问题是客户已强制执行 MFA，我们无法进行任何手动干预，因为我们的集成解决方案的目标是通过服务器到服务器调用自动创建用户。有人有解决这个问题的办法吗？我可以看到 MFA 的 3 个选项 - 电子邮件、电话 (SMS) 和 Microsoft 身份验证器。前两个不可能集成 AFAIK，最后一个看起来可能，但恕我直言，也没有 API。

我的自动化执行以下操作:

1. 发布至https://login.microsoftonline.com/organizations/oauth2/v2.0/token包含以下详细信息:

标题

x-www-form-urlencoded

正文

client_id xx9x9xxx00xxxxxx范围 Directory.ReadWrite.All客户端 secret sdvds8vdsvsc8sd用户名 [email protected]密码$@#%#%#%#%#%grant_type密码

如果没有 MFA，一切都会完美运行，即在没有 MFA 的另一个帐户(我自己的帐户，而不是客户)上。

这是我收到的错误:

{“错误”:“无效的授权”，"error_description": "AADSTS50076: 由于管理员进行了配置更改，或者由于您移动到了新位置，您必须使用多重身份验证才能访问“00000003-0000-0000-c000-000000000000”。\r\n跟踪 ID:a05be65f-5bd7-4db0-9896-5a8907d10a00\r\n关联 ID:34454b92-46da-46b5-8ccf-8f07325ea8ff\r\n时间戳:2021-06-16 04:18:43Z"，“错误代码”:[50076],"时间戳": "2021-06-16 04:18:43Z",“trace_id”:“a05be65f-5bd7-4db0-9896-5a8907d10a00”，“correlation_id”:“34454b92-46da-46b5-8ccf-8f07325ea8ff”，"error_uri": "https://login.microsoftonline.com/error?code=50076",“子错误”:“基本操作”}

任何人都可以就如何克服这个问题提供任何解决方法、解决方案或建议吗？

Answer 1

您正在使用Azure AD ROPC flow要获取 token ，如果用户帐户启用了 MFA，则无法使用它。

如果您想使用启用了 MFA 的帐户获取 token ，您可以使用 auth code flow ，这是一种交互方式。如果您想要非交互式方式，您可以使用 client credential flow ，无需用户账户即可获取token。