在Azure B2C中为Microsoft AD社交账户启用MFA的可行性咨询

可以为通过Azure AD身份提供商登录的外部账户启用MFA，但你尝试的TOTP示例策略仅针对B2C本地账户，所以无法直接生效。以下是可行的实现路径：

方案1：依赖源Azure AD的MFA管控 #

• 在作为身份提供商的Azure AD租户中，通过条件访问策略为目标用户或组启用MFA。当用户从B2C跳转至Azure AD完成登录时，会自动触发Azure AD侧的MFA验证，验证通过后再回到B2C完成整个登录流程。
• 这种方式无需修改B2C自定义策略，所有MFA规则、验证方式都在源Azure AD中配置，适合希望统一管控Azure AD用户MFA的场景。

方案2：在B2C自定义策略中添加MFA步骤 #

如果需要在B2C侧统一管控所有用户（包括外部Azure AD账户）的MFA，需调整自定义策略：

• 首先确保策略能从Azure AD身份提供商返回的声明中，捕获用户的邮箱、手机号等可用于MFA验证的属性。
• 添加MFA验证的技术配置文件（如PhoneFactor短信/电话验证，或适配外部账户的TOTP配置）。
• 修改用户旅程，在Azure AD认证完成后插入MFA验证步骤，并调整前置条件：移除仅针对本地账户的限制，将用户标识改为外部账户的issuerUserId（而非B2C本地账户的objectId），以此关联存储TOTP密钥或MFA状态。

原有TOTP示例无效的原因 #

你使用的TOTP示例策略中，默认通过前置条件限制仅B2C本地账户触发MFA流程，同时用户标识取值为B2C本地账户的objectId。如果要适配外部Azure AD账户，需要：

• 修改策略中的Preconditions规则，移除对本地账户的过滤。
• 将TOTP相关技术配置文件中的用户标识，替换为外部账户的issuerUserId（该值由Azure AD身份提供商返回，作为外部用户在B2C中的唯一标识）。

内容的提问来源于stack exchange，提问作者Rick Hayek