为用户配置SMS MFA时遇电话号码为NULL问题求助

我们为企业约5000名工厂工人部署MFA，管理层要求用户无需自行配置（无个人设备），计划通过PowerShell脚本为用户配置SMS MFA。脚本逻辑是遍历用户列表，为未启用MFA且有电话号码的用户添加SMS作为默认MFA方式，但运行后所有用户的电话号码均被设为NULL。环境为混合本地Azure环境，原脚本如下：

Connect-MsolService
    $csv=Import-Csv -Path "C:\temp\userlist.csv" 
    $csv | % {
	    $upn=$_.UserPrincipalName
	    $user=$null
	    $user=Get-MsolUser -UserPrincipalName $upn
	    $mfaresult=""
	    $mfa=$null
	    $mfa=$user.StrongAuthenticationMethods
	    $mfa | % {
		    If ($_.isDefault -eq "True") {$mfaresult=$_.MethodType } 	 
	    }
	    $phonenumber=""
	    $phonenumber=$user.phonenumber
	    If (($mfaresult.Length -eq "") -and ($phonenumber.Length -gt 0)) {
		    $SMS = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationMethod
		    $SMS.IsDefault = $true
		    $SMS.MethodType = "OneWaySMS"
		    Set-MsolUser -UserPrincipalName $upn -StrongAuthenticationMethods $SMS
	    }
    } 

操作流程：将用户加入试点组→运行脚本→尝试获取电话号码属性并设为SMS MFA号码，但未成功。

• 电话号码属性获取错误：原脚本中$user.phonenumber获取的是用户的办公电话属性，而Azure AD中用于SMS MFA的电话号码存储在StrongAuthenticationPhoneNumber属性中，两者并非同一字段。
• 混合环境同步问题：如果本地AD的电话号码未同步到Azure AD的StrongAuthenticationPhoneNumber字段，脚本自然无法获取有效号码。需确认本地AD的电话号码属性是否正确映射同步到Azure AD的对应MFA字段。
• MFA方式设置逻辑缺失：原脚本仅创建了SMS类型的MFA方法，但未将获取到的电话号码关联到该方法上，导致设置后号码为NULL。
• 判断条件存在逻辑错误：$mfaresult.Length -eq ""写法错误，空字符串的Length为0，应直接判断$mfaresult -eq ""；$phonenumber.Length -gt 0应改为-not [string]::IsNullOrEmpty($phonenumber)，避免空值或空格导致的误判。

Connect-MsolService
$csv = Import-Csv -Path "C:\temp\userlist.csv" 

foreach ($userEntry in $csv) {
    $upn = $userEntry.UserPrincipalName
    $user = Get-MsolUser -UserPrincipalName $upn -ErrorAction SilentlyContinue

    if (-not $user) {
        Write-Warning "用户 $upn 未找到，跳过"
        continue
    }

    # 获取当前默认MFA方式
    $defaultMfaMethod = $user.StrongAuthenticationMethods | Where-Object { $_.IsDefault -eq $true } | Select-Object -ExpandProperty MethodType -First 1

    # 获取MFA专用电话号码（优先用StrongAuthenticationPhoneNumber，为空则尝试办公电话）
    $phoneNumber = $user.StrongAuthenticationPhoneNumber
    if ([string]::IsNullOrEmpty($phoneNumber)) {
        $phoneNumber = $user.PhoneNumber
        # 若使用办公电话，同步到MFA专用字段（可选，根据环境需求）
        if (-not [string]::IsNullOrEmpty($phoneNumber)) {
            Set-MsolUser -UserPrincipalName $upn -StrongAuthenticationPhoneNumber $phoneNumber
        }
    }

    # 无默认MFA方式且电话号码有效时设置SMS MFA
    if ([string]::IsNullOrEmpty($defaultMfaMethod) -and -not [string]::IsNullOrEmpty($phoneNumber)) {
        $smsMethod = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationMethod
        $smsMethod.IsDefault = $true
        $smsMethod.MethodType = "OneWaySMS"
        
        # 保留现有MFA方法，新增SMS作为默认
        $existingMethods = $user.StrongAuthenticationMethods
        $existingMethods += $smsMethod
        Set-MsolUser -UserPrincipalName $upn -StrongAuthenticationMethods $existingMethods

        Write-Host "已为用户 $upn 成功设置SMS MFA，号码：$phoneNumber"
    }
}

1. 混合环境同步配置：若希望本地AD的电话号码自动同步到Azure AD的StrongAuthenticationPhoneNumber，需在Azure AD Connect中配置属性映射，将本地AD的telephoneNumber或mobile属性映射到Azure AD的对应字段。
2. 批量测试：建议先选取少量试点用户测试脚本，确认无误后再批量执行，避免影响大量用户。
3. 权限要求：运行脚本的账号需具备Azure AD的用户管理员或全局管理员权限。

内容的提问来源于stack exchange，提问作者Slackapadaka