Azure AD单租户应用是否可通过访客所属租户强制MFA？

你所设想的在用户原租户AAD2中配置安全默认值或条件访问策略，强制用户访问AAD1单租户应用时触发MFA的方案不可行，核心逻辑如下：

• Azure AD的身份策略（安全默认值、条件访问）仅在用户访问当前租户归属的资源，或用户以当前租户身份登录外部多租户应用时生效。
• AAD1中的单租户应用仅接受AAD1租户内的身份认证请求（包括已加入AAD1的AAD2访客身份），用户访问该应用时，完整认证流程都在AAD1侧执行，AAD2的身份策略不会被调用校验。

你观察到的多租户/单租户应用触发逻辑差异，和应用的身份校验逻辑直接相关：

• 多租户应用允许任意Azure AD租户的用户以自身原租户身份登录，此时AAD2用户访问应用时会先经过AAD2的身份校验，AAD2配置的MFA策略自然会生效。
• 单租户应用仅允许用户以AAD1内的身份（含访客身份）登录，全程只会校验AAD1侧配置的身份策略，和用户原租户AAD2的配置无关。

如果不想修改应用为多租户，直接在资源租户AAD1侧配置条件访问策略即可实现强制MFA，核心配置项如下：

• 用户分配：选择对应的AAD2访客用户/用户组
• 云应用或操作：选择你注册的目标单租户应用
• 授予控制：勾选要求多重身份验证

内容的提问来源于stack exchange，提问作者ravi shanker