如何通过Azure Graph API触发2FA/MFA推送验证请求？

微软没有提供类似Duo、Twilio那样的独立通用接口直接触发2FA推送验证，而是通过Microsoft Graph API结合Azure AD多因素认证（MFA）能力实现相关功能，核心分为两类场景：

1. 针对已注册MFA设备的验证触发 #

若要向特定用户的已绑定MFA设备推送验证请求，可使用Microsoft Graph的Authentication Methods API：

• 触发Microsoft Authenticator推送通知：调用POST /users/{userId}/authentication/microsoftAuthenticatorMethods/{id}/sendPushNotification端点，该接口会向用户的Authenticator应用发送推送验证请求，用户在应用内确认即可完成验证。
• 触发短信/电话验证：使用POST /users/{userId}/authentication/phoneMethods/{id}/sendVerificationCode端点，支持向用户注册的手机号发送验证码或发起语音验证呼叫。

调用这些接口需具备对应权限（如UserAuthenticationMethod.ReadWrite.All），且仅能操作已在Azure AD中完成MFA方法注册的用户。

2. 登录流程中的MFA挑战触发 #

如果是在自定义登录场景中触发MFA验证，需结合Azure AD的身份认证流程：通过构建认证请求时指定prompt=login或mfa=required参数，引导Azure AD自动向用户发起MFA验证（包含推送、短信等方式）。这种场景下无需直接调用触发接口，而是通过认证流程参数控制MFA挑战的触发。

微软的MFA触发逻辑紧密绑定Azure AD的身份认证生命周期，所有操作需遵循Azure AD的安全规则与权限控制。

内容的提问来源于stack exchange，提问作者Victorio Berra