如何为Azure App Service配置无微软样式弹窗的自定义品牌MFA认证

核心选型 #

采用Azure AD外部身份标识的**Identity Experience Framework（IEF，自定义策略）**作为底层认证底座，该能力专为应用自定义身份流设计，可完全隐藏Azure服务痕迹，所有交互页面100%支持自有品牌定制。

需求匹配实现 #

全自定义无Azure感知页面 #

• 所有注册、登录、MFA绑定、验证的页面均可由你方自行开发，托管在自有域名的应用服务器上，仅需按IEF规范配置表单字段即可，不会出现任何微软默认样式、标识，用户全程感知不到底层Azure服务。
• 无需跳转微软域名的托管页面，所有用户交互都在你方自有域名下完成。

多认证方式支持 #

• 原生适配你方要求的所有验证方式：用户名/密码、符合WebAuthn标准的浏览器端生物识别（支持Touch ID、Face ID、Windows Hello等）、TOTP标准的Google Authenticator，可配置强制所有用户必须绑定至少一种MFA方式才可完成注册。

已注册设备校验 #

• 自定义策略支持在用户首次绑定MFA/生物识别时，采集当前设备的唯一凭证标识，存储到用户账号的扩展属性中。
• 后续登录请求触发时，策略会自动比对当前设备标识与用户绑定的设备列表，仅已注册的设备可通过校验，拦截逻辑的提示页面同样支持完全自定义。

适配要求的流程实现 #

• 用户访问应用官网点击注册按钮，直接跳转你方自有品牌注册页，提交信息后调用IEF接口完成底层账号创建
• 注册完成后跳转你方自研的MFA选择页，引导用户完成生物识别或谷歌验证器绑定，绑定成功后返回应用
• 后续用户登录时，在你方自有登录页完成身份+设备双重校验，校验通过后下发应用登录态即可

内容的提问来源于stack exchange，提问作者Adriaan Pretorius