Microsoft Entra External ID租户因MFA锁定及权限问题求助

核心问题与对应解法 #

1. 切换租户时卡在MFA验证界面 #

• 用浏览器无痕模式打开Azure门户，禁用所有扩展，排除缓存/插件干扰
• 切换MFA验证方式：如果之前用Authenticator App，尝试改用短信/电话验证；确保MFA设备应用是最新版本
• 优先解决来宾用户权限问题（见下文），主租户与新租户的MFA策略冲突可能是卡顿根源

2. 删除租户后原域名无法复用 #

• *.onmicrosoft.com域名删除后会进入90天保留期，期间无法被任何租户使用
• 临时方案：改用新的二级域名（如myb2ctenant-v2.onmicrosoft.com）；若必须用原域名，需等待保留期结束

3. Azure CLI订阅显示N/A但门户已关联订阅 #

• 订阅继承的所有者权限仅针对资源层级，不覆盖租户级管理权限，需在新租户中分配本地管理员角色：
  1. 访问https://portal.azure.com/#@<新租户域名>.onmicrosoft.com，用主租户身份以来宾用户进入新租户
  2. 进入Microsoft Entra ID -> 角色和管理员，给自己分配「全局管理员」或「租户创建者」角色
  3. 重新执行az login，无需添加--allow-no-subscriptions参数，即可看到关联的订阅

4. 自身被标记为外部来宾用户，无管理员权限 #

• 从现有订阅创建Entra External ID租户时，默认会将创建者添加为跨租户来宾用户，而非本地租户用户：
  1. 用主租户全局管理员身份登录新租户（通过租户切换器选择目标租户）
  2. 进入Microsoft Entra ID -> 用户，找到自己的来宾账户，点击「分配角色」添加「全局管理员」权限
  3. 若无法登录新租户，可使用主租户的紧急访问账户（若已配置）登录新租户进行权限分配
• 执行MFA推迟脚本需本地租户管理员权限，分配角色后即可正常执行

内容的提问来源于stack exchange，提问作者uodami