azure - 在网站中集成 Azure 多重身份验证以对其用户进行身份验证

Question

我有一个网站(用 PHP 构建)，网络服务器的操作系统是来自 AWS EC2 的 Linux (Ubuntu)，

我想在网站中集成 Azure MFA 以使用 2FA(二因素身份验证)对用户进行身份验证，

我使用 Node JS 检查了这段代码 https://github.com/Azure-Samples/active-directory-node-webapp-openidconnect

它是来自 Azure 的示例应用程序，用户可以在其中使用 Azure 凭据登录示例应用程序，并可以从 Azure 获取配置文件信息，

它对我来说效果很好，但是:

1) 首先需要在 Active Directory (AD) 中添加用户，那么我可以直接对用户进行身份验证，而不需要在 Azure AD 上注册吗？另外，我的网站有超过 3000 名活跃用户，我需要将他们全部注册吗？

2) 用户在身份验证过程中在 Microsoft 网站上完全重定向，是否有任何方法无需重定向，或使用一些 UI 内容(使用弹出窗口)？

任何帮助或建议都会对我有帮助，

提前致谢，亨利

Answer 1

<强>1。需要先在 Active Directory (AD) 中添加用户？

是的，你说得对!首先，您需要在 Azure 门户上添加用户，然后他们在尝试访问每个操作中的任何内容时需要进行身份验证。

<强>2。我可以直接对用户进行身份验证，而不需要在 Azure AD 上注册吗？

不，你不能!对于身份验证，您需要首先在 Azure 门户上定义用户。

<强>3。我的网站有超过 3000 名活跃用户，我需要 全部注册吗？

由于您的网络端有数千个用户，您可以批量添加他们。为了避免手动注册，您可以使用 Azure PowerShell 进行广告。命令。如果您将所有用户添加到 CSV文件中，您可以通过以下脚本轻松添加它们:

拥有所有用户 CSV 文件后，您可以运行此 New-AzureADUser 命令，如下格式。

foreach($user in import-csv "E:\userinfo.csv") 
{ 
     Write-Host "Processing item with.. UserName="$user.DisplayName

   # Make use of variables like $user.DisplayName and so on in your commands here..
   # New-AzureADUser -DisplayName $user.DisplayName ... and so on..
}

您可以查看引用文档以获取类似的详细信息 here

<强>3。身份验证期间用户在 Microsoft 网站上完全重定向 进程，有没有什么方法可以不重定向，或者使用一些UI 东西(使用弹出窗口)？

当您使用 OpenIdConnect 时在此流程中进行身份验证的协议(protocol)，您无法在身份验证过程中停止 Microsoft 站点上的重定向。但有一个办法使用Resource owner password credentials flow

It is not recommend to use the Resource owner password credentials flow ROPC in this scenario. It is more like phishing site if the users doesn't trust your web app.

The resource owner password credentials (i.e., username and password) can be used directly as an authorization grant to obtain an access token. The credentials should only be used when there is a high degree of trust between the resource owner and the client (e.g., the client is part of the device operating system or a highly privileged application), and when other authorization grant types are not available (such as an authorization code)

当我们选择OAuth 2 授权框架的交互流程时，预计会重定向到身份提供商，因为这就是它的工作原理!

希望它能帮助您找到解决方法。谢谢你!