如何在Azure AD B2C中启用微软认证应用推送通知MFA？

一、官方原生支持现状 #

• Azure AD B2C的默认用户流（含内置MFA选项）不支持微软认证应用的推送通知MFA，仅提供邮件、短信、电话呼叫以及认证器应用OTP码验证这几种方式。
• 条件访问策略无法为B2C用户流补充推送通知MFA能力，B2C的条件访问场景与Azure AD标准版存在差异，官方明确此场景暂不支持。

二、自定义策略实现方案 #

若要基于微软认证应用实现推送通知MFA，需通过自定义策略（Custom Policies） 扩展B2C的认证流程，核心步骤如下：

1. 配置Azure AD B2C与Azure AD的信任关系，将微软认证应用的推送验证能力集成到自定义策略中。
2. 在自定义策略中定义新的MFA验证步骤，调用Azure AD的认证端点触发推送通知请求。
3. 自定义用户界面，为用户提供“推送通知”作为MFA选项，同时保留原有OTP、短信等验证方式。

注意：自定义策略需具备Azure AD B2C高级操作权限，且要求熟悉Identity Experience Framework（IEF）配置逻辑，实现复杂度较高。

三、第三方MFA服务替代方案 #

若不愿投入自定义开发，可采用OKTA、DUO等第三方身份提供商的服务：

• DUO MFA：通过Azure AD B2C自定义策略集成DUO服务，DUO支持推送通知、短信、OTP等多种验证方式，只需在B2C中配置DUO作为外部MFA提供者即可。
• OKTA：将OKTA作为身份提供商接入Azure AD B2C，用户通过OKTA完成含推送通知MFA的认证流程后，由B2C接收认证结果。
  这类方案无需复杂的自定义开发，可直接利用第三方成熟的MFA能力，但需承担额外的第三方服务订阅成本。

内容的提问来源于stack exchange，提问作者Brijender Ahuja