通过Microsoft Graph更新Azure AD用户手机号后MFA仍需手动输入的问题

问题描述 #

我希望为现有Azure AD用户添加手机号，避免用户手动输入手机号获取MFA验证码。尝试通过Microsoft Graph执行以下PATCH请求：

PATCH https://graph.microsoft.com/v1.0/users/{id}
Content-Type: application/json

{
  "mobileNumber" : "############"
}

请求返回204 No Content状态及空响应，用户资料已显示该手机号，但MFA仍要求用户手动输入。我拥有租户管理员权限，不存在权限缺失问题，请问如何自动化此流程？

解决方案 #

你之前更新的mobileNumber只是用户的基础联系属性，和MFA使用的验证手机号是两个独立的配置项。要让MFA自动使用该手机号，需要通过身份验证方法API来配置用户的MFA电话方法：

1. 添加MFA手机号验证方法
   使用POST请求为用户创建新的电话验证方法：

   POST https://graph.microsoft.com/v1.0/users/{user-id}/authentication/phoneMethods
   Content-Type: application/json
   
   {
     "phoneNumber": "+1234567890",
     "phoneType": "mobile"
   }
   

   成功后会返回201 Created，响应包含该验证方法的ID和详细信息。

2. 设置为默认MFA方法（可选）
   如果需要将该手机号设为默认MFA验证方法，可通过PATCH请求更新：

   PATCH https://graph.microsoft.com/v1.0/users/{user-id}/authentication/phoneMethods/{method-id}
   Content-Type: application/json
   
   {
     "isDefault": true
   }
   

3. 权限确认
   确保你的令牌拥有UserAuthenticationMethod.ReadWrite.All权限（租户管理员权限通常包含此权限，但需确认应用或授权流程已请求该权限）。

完成以上操作后，用户的MFA配置中会自动添加该手机号作为验证方式，后续MFA验证时会直接向该号码发送验证码，无需用户手动输入。

内容的提问来源于stack exchange，提问作者Panda6754