Azure AD MFA能否与本地Active Directory搭配正常使用？

Azure AD MFA可与本地Active Directory搭配实现本地域设备登录时的二次验证，你当前遇到的策略不生效问题是免费版Azure AD的权限限制导致，调整许可并配置对应组件即可解决。

核心前提要求 #

• 你当前持有的免费版Azure AD（随Microsoft 365 Basic附带）仅支持云侧服务的MFA校验，无法将MFA策略同步应用到本地AD域环境。要实现需求，需将许可升级到至少Microsoft 365 商业标准版、Azure AD Premium P1及以上级别。

可选实现方案 #

方案1：部署Azure AD MFA NPS扩展 #

• 操作流程：在本地环境部署网络策略服务器（NPS），安装Azure AD MFA NPS扩展组件，将本地AD的身份验证请求路由到Azure AD完成MFA校验
• 适配场景：无需改造现有本地AD架构、域加入设备的原有登录逻辑，所有域登录、本地资源访问的身份请求都会先触发NPS调用Azure AD的MFA结果完成二次校验

方案2：配置混合Azure AD加入+Windows Hello 企业版 #

• 操作流程：将所有本地域加入设备配置为混合Azure AD加入状态，启用Windows Hello 企业版并关联Azure AD MFA策略
• 适配场景：适合设备同时需要访问本地资源和云资源的场景，登录时直接触发已配置的Azure AD MFA验证流程，验证通过后才可进入系统

配置注意事项 #

• 确保本地AD与Azure AD的账户同步状态正常，无属性同步错误
• 所有目标用户需提前完成Azure AD MFA验证方式（验证器应用、短信、电话等）的注册
• 若选择NPS扩展方案，需确保本地NPS服务器的出站请求可正常访问Azure AD公网接口，无防火墙、代理拦截

内容的提问来源于stack exchange，提问作者James Auman