Azure AD强制启用MFA时如何通过API实现无人工干预自动创建用户

核心问题说明 #

你当前使用的密码授权（ROPC）流本身不支持无交互的MFA验证，在租户强制启用MFA的场景下该流天然无法正常运行，试图通过API调用自动完成MFA验证的思路不符合MFA的安全设计逻辑，微软也未开放相关能力支持该操作。

推荐最优方案：切换为客户端凭证授权流 #

这是服务端间无交互调用Graph API的官方标准方案，完全不需要用户参与，也不受MFA策略限制，配置步骤如下：

• 登录Azure AD门户，找到你当前使用的client_id对应的应用注册
• 进入「API权限」配置页，删除已配置的委托类型Directory.ReadWrite.All权限，新增应用程序类型的Directory.ReadWrite.All权限
• 点击「授予管理员同意」按钮，完成权限的租户级激活
• 调整你获取访问令牌的请求参数，调整后的请求示例如下：

POST https://login.microsoftonline.com/{客户租户ID}/oauth2/v2.0/token
Content-Type: x-www-form-urlencoded

client_id=xx9x9xxx00xxxxxx
&scope=https://graph.microsoft.com/.default
&client_secret=sdvds8vdsvsc8sd
&grant_type=client_credentials

通过上述请求拿到的访问令牌，调用Graph API创建用户的逻辑和之前完全一致，无需额外修改。

备选方案（不推荐） #

如果因为业务逻辑限制必须保留用户身份调用的模式，可以和客户侧Azure AD管理员协商，将你使用的服务账号user.name@tenant.onmicrosoft.com添加到MFA条件访问策略的排除名单中。该方案会降低账号安全等级，通常客户侧不会同意该配置。

内容的提问来源于stack exchange，提问作者Nimish Goray