Azure AD强制重认证时无法触发Windows Hello for Business验证的咨询

1. 锁定认证方法策略 #

在Azure AD的认证方法配置中：

• 针对目标用户/组，仅启用Windows Hello for Business（WHfB）作为主要认证方法，禁用密码、电话短信等其他所有主要认证方式
• 若需MFA验证，同样确保仅WHfB被列为允许的MFA方法

这样设置后，用户在任何认证场景下（包括强制重认证）都无法选择密码流程，只能使用WHfB。

2. 完善条件访问策略覆盖重认证场景 #

修改现有条件访问策略：

• 在分配 → 用户操作中，勾选“重认证”选项，确保策略覆盖prompt=login或max_age=0触发的强制重认证场景
• 在授予 → 认证强度中，仅选择“Windows Hello for Business”，并确认勾选“需要符合所有选定的控制项”

3. OIDC请求中指定优先认证方法（预览功能） #

在你的OIDC授权请求中添加amr_values=whfb参数，明确提示Azure AD优先使用WHfB完成认证。示例：

https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/authorize?
client_id={your-client-id}
&response_type=code
&redirect_uri={your-redirect-uri}
&scope=openid profile {your-api-scopes}
&prompt=login
&amr_values=whfb

注：该参数属于预览功能，需确保租户已启用对应的预览特性。

关键说明 #

正常触发认证上下文时策略生效，但强制重认证会重置会话缓存，此时需要认证方法策略的全局限制+条件访问的场景覆盖，才能确保WHfB是唯一可选的认证方式，避免用户陷入密码+MFA的繁琐流程。

内容的提问来源于stack exchange，提问作者Christian Lykke