Microsoft Entra ID中外域用户邀请与MFA相关技术咨询

针对你提到的几个核心问题，我来逐一梳理可行的思路和注意事项：

1. 能否绕过对方组织的阻止邀请外部用户？ #

答案是没办法直接绕过。因为外部用户能否被邀请到其他租户，核心控制权在对方的Entra ID租户管理员手里——他们可以通过租户的「外部协作设置」，完全禁止外部邀请、只允许特定域的邀请，或者限制特定用户的协作权限。这些都是对方租户的安全策略，外部租户没有权限强制突破。

不过你可以尝试和对方企业的IT团队沟通，说明你们的业务需求，看能不能让他们针对你的租户或者特定用户放宽限制，比如把你的租户添加到他们的允许协作列表里，这是目前唯一能解决这个问题的合规路径。

2. 用企业邮箱接收MFA验证码的方案是否可行？ #

这个方案是可行的，但需要注意几个关键细节和潜在问题：

• 操作逻辑：你需要在自己的Entra ID租户创建本地用户账号（不能用对方的企业邮箱作为账号名，因为该邮箱已经属于对方租户的身份标识，Entra ID不允许重复），比如给用户分配user@your-tenant.com这样的账号，然后在MFA配置里，把验证邮箱设置为用户的企业邮箱user@client-tenant.com。用户登录时，先输入本地账号的密码，再接收发送到企业邮箱的验证码完成验证。
• 符合安全需求：确实如你所想，当用户离开原企业失去企业邮箱访问权后，就无法接收MFA验证码，自然会失去你们系统的访问权限，这一点能满足你的安全诉求。
• 需要注意的问题：
  • 账号管理成本上升：本地用户的密码重置、账号禁用/启用、权限调整都需要你们团队负责，不像B2B邀请用户那样，对方租户会同步用户的身份生命周期（比如用户离职后对方会禁用账号，你们这边自动失效）。
  • 依赖对方邮箱稳定性：如果对方企业邮箱出现故障，用户会无法接收验证码，进而无法登录你们的系统。
  • 合规风险：需要确认这种将验证信息发送到对方企业邮箱的方式，是否符合双方的合规政策（比如数据隐私、信息安全规定）。

其他可选方案参考 #

如果对方租户暂时无法放宽外部邀请限制，你还可以考虑：

• Entra ID B2B直接连接：这是一种跨租户的信任协作方式，不需要邀请用户，双方租户管理员配置信任关系后，对方用户可以直接用自己的企业账号登录你们的应用。但这个方案需要对方租户的管理员配合完成配置。
• 使用用户的个人微软账户：如果用户有个人Outlook或微软账户，可以邀请该账户作为外部用户，不过这需要用户愿意使用个人账号访问你们的业务系统，可能不符合部分企业的使用规范。

备注：内容来源于stack exchange，提问作者Charlemagne