启用MFA后使用UserPasswordCredential出现AADSTS50076错误

错误原因 #

你使用的UserPasswordCredential属于资源所有者密码凭据流（ROPC），这种身份验证流本身不支持多因素认证（MFA）。而你的Azure AD租户已对目标应用（错误中的00000002-0000-0000-c000-000000000000是Microsoft Graph的客户端ID）启用了MFA，同时管理员配置的条件访问策略可能也强制要求该应用或用户必须完成MFA验证。当ROPC流无法满足MFA要求时，Azure AD就会抛出AADSTS50076错误。

能否在API端忽略MFA？ #

无法直接在API端忽略MFA。MFA是Azure AD租户层面的强制配置（通过条件访问策略或用户MFA启用设置实现），API本身没有权限绕过该要求。另外，微软官方不推荐在启用MFA的场景下使用ROPC流，因为它属于安全性较低的传统认证方式，不符合现代身份验证的最佳实践。

处理MFA身份验证的可行策略 #

• 切换到支持MFA的身份验证流：
  • 授权码流（Authorization Code Flow）：适合带有前端界面的应用，引导用户通过浏览器完成MFA验证后，后端使用授权码兑换访问令牌。
  • 设备授权流（Device Code Flow）：适合无UI的后台设备或服务，用户可在其他终端设备上打开指定URL完成MFA验证，进而获取令牌。
• 使用服务主体替代用户凭据：
  在Azure AD中创建应用注册，使用客户端ID+客户端密钥（或证书）的方式获取令牌。这种方式不需要用户交互，也不受用户MFA状态影响，非常适合后台服务调用API的场景。
• 调整Azure AD条件访问策略（谨慎操作）：
  如果业务场景确实有特殊需求，可以在租户的条件访问策略中，针对特定应用或用户排除MFA要求。但此操作会降低账户安全性，需经过严格的安全评估后再执行。

内容的提问来源于stack exchange，提问作者Charmy