多租户Azure AD应用的MFA策略归属及独立租户必要性咨询

你当前的场景是：你的Azure AD租户已启用多因素认证（MFA），应用注册配置为多租户模式（选项为"Accounts in any organizational directory (Any Azure AD directory - Multitenant)"）。针对你的问题，解答如下：

1. 外部租户用户是否会被强制使用MFA？ #

不会。即使你的租户启用了MFA，其他租户的用户登录你的应用时，不会被强制要求使用MFA——除非该用户所在的租户本身配置了对应的MFA策略。

2. 多租户应用遵循哪个租户的MFA策略？ #

多租户应用的身份验证规则遵循用户所在租户的MFA策略，而非应用注册所在租户的策略：

• 应用所在租户的MFA要求仅对本租户内的用户生效；
• 外部租户用户的验证流程、是否需要MFA，完全由他们自己的租户管理员通过Azure AD条件访问策略等配置决定。

3. 是否应为多租户应用单独设立租户？ #

分场景判断：

• 推荐单独设立的情况：如果你的应用是面向外部客户的SaaS产品，单独租户可以隔离应用管理（如应用注册、权限配置）与内部业务租户的资源，避免管理混淆，同时更便于后续的规模化运维（比如多环境部署、租户级权限隔离）。
• 可以使用现有租户的情况：如果应用仅面向少量合作租户或内部跨团队使用，且能做好现有租户内的权限划分，用现有租户也能满足需求。

内容的提问来源于stack exchange，提问作者Jim Barrett