在ASP.NET Core Web API中通过Azure AD免MFA实现账号密码登录

问题根源 #

你当前使用的是Azure AD的Resource Owner Password Credentials (ROPC)流（即用户名密码直接登录），这个认证流本身不支持多因素认证（MFA）。一旦你的Azure AD租户针对该用户或应用启用了强制MFA的条件访问策略，就会触发你遇到的错误。而且ROPC流是微软不推荐的认证方式，存在密码泄露风险，也不支持现代安全特性。

可行解决方案 #

1. 改用授权码流（推荐） #

这是Azure AD官方推荐的用户交互式认证方案，支持MFA，也能在租户策略允许的情况下实现无MFA登录，安全性更高。

• 实现逻辑：
  1. 客户端（如前端应用、桌面APP）跳转到Azure AD的统一登录页面，用户输入凭据完成认证（若租户允许则无需MFA）。
  2. Azure AD返回授权码给客户端。
  3. 客户端将授权码传递给你的Web API，API使用授权码换取访问令牌。
• API端配置：你现有的program.cs中的JWT验证逻辑无需改动，只需移除AuthController中基于用户名密码的登录代码，改为接收客户端传来的授权码并换取令牌（或由客户端直接换取令牌后携带到API请求中）。
• 示例代码（API端处理授权码换取令牌）：

[HttpPost("exchange-token")]
public async Task<ActionResult<string>> ExchangeToken(string code)
{
    var authority = $"{_configuration["AzureAd:Instance"]}{_configuration["AzureAd:TenantId"]}";
    var app = ConfidentialClientApplicationBuilder
        .Create(_configuration["AzureAd:ClientId"])
        .WithClientSecret(_configuration["AzureAd:ClientSecret"])
        .WithAuthority(authority)
        .Build();

    var scopes = new[] { _configuration["AzureAd:Audience"] };
    var result = await app.AcquireTokenByAuthorizationCode(scopes, code).ExecuteAsync();
    
    return result.AccessToken;
}

2. 使用设备码流（适配无UI客户端） #

如果你的客户端没有浏览器（如后台服务、命令行工具），可以采用设备码流：

• 实现逻辑：客户端请求Azure AD获取设备码，用户在任意设备的浏览器中输入该代码完成登录，Azure AD在登录完成后返回令牌给客户端。
• 该流同样支持MFA，且能在租户策略允许时跳过MFA。

3. 调整Azure AD条件访问策略（仅安全环境下使用） #

若你的内部环境允许特定用户或应用跳过MFA，可以在Azure AD中配置条件访问策略的例外：

• 登录Azure AD门户，进入条件访问页面。
• 创建或修改现有策略，将你的Web API应用或目标员工用户组添加到排除列表中，允许其跳过MFA验证。
• 注意：此操作会降低账号安全性，仅在完全可信的内部场景中考虑使用。

内容的提问来源于stack exchange，提问作者techstack