如何在PowerShell中通过Microsoft Graph实现带MFA的交互式登录（无需应用注册）

核心实现命令 #

直接通过Connect-MGGraph的参数组合，强制触发带MFA验证的交互式登录：

# 先清除旧会话（若存在未触发MFA的缓存）
Disconnect-MGGraph

# 发起强制MFA的交互式登录
Connect-MGGraph -Interactive -ForceRefresh -Scope "RoleAssignmentSchedule.ReadWrite.Directory"

参数说明：

• -Interactive：强制弹出交互式登录窗口，确保手动完成身份验证流程
• -ForceRefresh：跳过本地缓存的旧令牌，强制发起全新的身份验证请求，避免复用未经过MFA挑战的会话
• -Scope：明确指定PIM角色请求所需的高权限RoleAssignmentSchedule.ReadWrite.Directory，Azure AD会基于该权限要求触发MFA验证（前提是用户账号已启用MFA）

验证MFA会话有效性 #

登录成功后，执行以下命令确认会话已通过MFA挑战：

Get-MgContext | Select-Object AuthType, HasTokenRefreshed, ExpiresOn

返回结果中AuthType应为Delegated，且HasTokenRefreshed为True，此时即可正常执行PIM角色分配请求（例如New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest）。

关键注意事项 #

• 确保用户账号已在Azure AD中启用MFA（可通过条件访问策略或用户级MFA配置实现）
• 全程无需创建应用注册，该方案依赖用户委托权限的交互式认证流程，直接利用用户自身的MFA配置完成验证
• 若之前存在未触发MFA的缓存会话，必须先执行Disconnect-MGGraph清除后再重新登录

内容的提问来源于stack exchange，提问作者Hofa