Azure全局管理员无权限管理身份验证方法，用户MFA登录受阻求助

1. 检查身份验证方法策略的权限配置 #

• 进入Entra ID的身份验证方法 > 策略，确认目标用户被包含在策略的适用范围内，同时检查你的全局管理员账号是否在身份验证方法管理员的分配列表中。即便添加了Privileged Authentication Administrator角色，也需要在具体的身份验证方法策略中明确授予对该用户的管理权限。
• 若你的账号未在分配列表中，直接编辑策略，将你的全局管理员账号添加到身份验证方法管理员的分配项里，开启对该用户的MFA方法管理权限。

2. 用PowerShell强制重置用户MFA状态 #

• 安装并连接Microsoft Graph模块：

  Install-Module Microsoft.Graph.Identity.SignIns -Force
  Connect-MgGraph -Scopes UserAuthenticationMethod.ReadWrite.All
  

• 列出用户已注册的所有身份验证方法：

  Get-MgUserAuthenticationMethod -UserId "用户UPN或ID"
  

• 删除所有已存在的MFA方法（包括未完成注册的无效记录）：

  Remove-MgUserAuthenticationMethod -UserId "用户UPN或ID" -AuthenticationMethodId "对应方法ID"
  

• 强制重置用户的MFA注册状态：

  Update-MgUserAuthenticationMethodRegistration -UserId "用户UPN或ID" -ForceReset $true
  

3. 清除用户的风险标记 #

• 进入Entra ID的保护 > 风险用户，找到该用户，将其风险状态标记为已解决。若风险标记未清除，即使重置MFA，系统仍会触发MFA挑战。
• 若手动标记无效，用PowerShell执行清除操作：

  Install-Module Microsoft.Graph.Identity.SignIns -Force
  Connect-MgGraph -Scopes IdentityRiskUser.ReadWrite.All
  Update-MgRiskUser -UserId "用户UPN或ID" -RiskState "resolved"
  

4. 验证Security Defaults的实际生效状态 #

• 关闭Security Defaults后，等待15-30分钟让设置同步，再让用户尝试登录。部分场景下设置同步存在延迟，会导致MFA要求仍被触发。
• 同时检查是否存在其他条件访问策略覆盖了Security Defaults，比如针对所有用户的强制MFA策略，若有则暂时禁用该策略。

• 权限分离设计：Microsoft 365/Entra ID的现代权限模型遵循最小权限原则，全局管理员默认不拥有所有身份验证方法的管理权限，尤其是修改其他用户MFA状态的权限，以此防止权限滥用。
• Security Defaults的限制：Security Defaults自动部署后，会自动配置身份验证方法策略，此时全局管理员的默认权限会被该策略限制，必须在策略中明确授予相关管理权限才能操作。
• 免费租户的特殊限制：绑定非营利E1的Azure免费租户在RBAC权限分配上存在部分限制，部分高级权限的生效需要更严格的配置，或更长的同步等待时间。

内容的提问来源于stack exchange，提问作者Richard Berg