Azure AD B2C能否基于应用设置控制用户MFA？哪种方案更优？

方案1：自定义策略对接应用设置触发MFA #

• 可行性：完全可行
• 实现逻辑：
  • 在自定义策略中添加REST API技术配置文件，调用你的Web应用接口获取当前应用的MFA启用状态
  • 将接口返回的MFA状态存入B2C声明（比如isMfaRequired）
  • 在用户旅程中添加条件判断：如果isMfaRequired为true，则触发MFA验证步骤（如短信/电话验证）
• 关键注意事项：
  • 必须为REST API调用配置安全验证（如客户端证书、OAuth2.0凭证），防止恶意请求篡改MFA状态
  • 自定义策略需要遵循B2C的策略架构规范，确保用户旅程的流程顺畅

方案2：编程方式设置用户MFA #

• 可行性：不可行
• 原因说明：
  • Azure AD B2C的MFA触发逻辑由用户流/自定义策略控制，而非用户级别的属性设置。你之前在门户设置用户MFA强制无效，是因为B2C环境下用户级的MFA设置不生效，这是常见误区
  • 目前Microsoft Graph API没有针对B2C用户的MFA强制状态设置接口，无法通过编程方式直接控制用户的MFA要求

方案对比与选型建议 #

• 方案1是唯一符合需求的可行方案：
  • 优势：能精准基于单个应用的设置控制MFA，无需修改用户数据，逻辑集中在B2C策略中，用户体验一致
  • 劣势：需要掌握B2C自定义策略的编写技巧，REST API调用需额外做安全配置
• 方案2因技术限制无法实现，直接排除

内容的提问来源于stack exchange，提问作者mmacleodt