設定多重要素驗證方法

如先前在課程模組中所述，我們建議使用者能夠選取一個以上的驗證方法，以防其主要方法無法使用。

當使用者第一次登入需要 MFA 的服務時，系統會要求他們註冊慣用的多重要素驗證方法，如下列螢幕擷取畫面所示：

使用者註冊之後，每次登入需要 MFA 的服務或應用程式時，Azure 登入流程即會提示他們輸入驗證資訊，如下列影像所示：

Azure 驗證方法

如您先前所見，系統管理員可以設定的可能驗證方法有數種。 其中一些也支援自助式密碼重設 (SSPR)，其允許使用者透過提供第二種形式的驗證來重設其密碼。 您可以將這項服務與 Microsoft Entra 多重要素驗證結合，以減輕 IT 人員的負擔。

下表列出驗證方法和可以使用它們的服務。

密碼

這是唯一您無法停用的方法。

安全性問題

只有使用自助式密碼重設的非系統管理員帳戶，才能使用此方法。

• Azure 會私人地並以安全性增強的方式，將安全性問題儲存在目錄中的使用者物件上。 只有使用者且只有在註冊期間可以回答問題。 系統管理員無法讀取或變更使用者的問題或答案。

• Azure 提供 35 個預先定義的問題，全部都已根據瀏覽器地區設定進行翻譯和當地語系化。

• 您可以使用系統管理介面來自訂問題。 Azure 會以輸入的語言顯示它們。 長度上限是 200 個字元。

電子郵件地址

此方法只有 SSPR 可以使用。 建議您避免使用不需要使用者 Microsoft Entra 密碼就能存取的電子郵件帳戶。

Windows Hello 企業版

Windows Hello 企業版會根據臉部辨識或指紋比對來提供可靠且完全整合的生物特徵辨識驗證。 Windows Hello 企業版、FIDO2 安全性金鑰和 Microsoft Authenticator 都是無密碼的解決方案。

FIDO2 安全性金鑰

FIDO2 安全性金鑰是無法網路釣魚、以標準為基礎且無密碼驗證方法，可以採用任何形式規格。 快速身分識別線上 (FIDO) 是無密碼驗證的開放式標準。

使用者可以註冊，然後在登入介面選取 FIDO2 安全性金鑰，做為其主要驗證方法。 這些 FIDO2 的安全性金鑰通常是 USB 裝置，但也可使用藍牙或 NFC。

可以使用 FIDO2 安全性金鑰來登入 Microsoft Entra ID 或 Microsoft Entra 混合式聯結的 Windows 10 裝置。 他們可以單一登入雲端和內部部署資源。 使用者也可以登入支援的瀏覽器。

Microsoft Authenticator 應用程式

Android 和 iOS 可以使用此方法。 用戶可以 在這裡註冊其行動應用程式。

• Microsoft Authenticator 應用程式有助於防止未經授權的帳戶存取。 它會將有助於阻止詐騙交易的通知推送到您的智慧型手機或平板電腦。 使用者檢視通知，並確認或拒絕要求。

• 使用者可以使用 Microsoft Authenticator 應用程式或協力廠商應用程式作為軟體權杖來產生 OATH 驗證碼。 使用者輸入使用者名稱和密碼後，需要在登入畫面輸入應用程式所提供的驗證碼。 驗證碼提供第二種形式的驗證。 使用者也可以設定 Microsoft Authenticator 應用程式，以傳遞他們所選取的推播通知並核准登入。

OATH 硬體權杖

OATH 是開放標準，指定如何產生單次密碼代碼。 Microsoft Entra ID 支援使用每 30 秒或 60 秒變換一次的 OATH-TOTP SHA-1 權杖。 客戶可以從他們選擇的廠商取得這些權杖。 祕密金鑰僅限 128 個字元，可能不會和所有權杖都相容。

OATH 軟體權杖

軟體 OATH 權杖一般是 Microsoft Authenticator 應用程式和其他驗證器應用程式這類應用程式。 Microsoft Entra ID 會產生祕密金鑰或種子，以輸入至應用程式以及用來產生每個 OTP。

簡訊

Azure 使用 SMS 將驗證碼傳送到行動電話。 使用者必須在特定時段內將代碼輸入瀏覽器，才能繼續。

語音通話

Azure 使用自動語音系統來撥打號碼，而擁有者使用數字鍵台來確認驗證。 Microsoft Entra 免費/試用層無法使用此選項。

應用程式密碼

某些非瀏覽器應用程式不支援 Microsoft Entra 多重要素驗證。 如果使用者已啟用 Microsoft Entra 多重要素驗證，並嘗試使用非瀏覽器應用程式，他們會無法進行驗證。 應用程式密碼可讓使用者繼續進行驗證。

監視採用

Microsoft Entra ID 在 [監視] 區段中包含 [使用方式與深入解析] 檢視，您可以在其中監視驗證方法活動。 您可以從這裡檢視 MFA 和 SSPR 的採用：

除了整體註冊數目，您也可以看到每個驗證方法的註冊成功和失敗。 這項事實可讓您了解使用者最常註冊的驗證方法，以及對他們來說容易註冊的驗證方法。 此資料是使用已結合的安全性資訊註冊和 SSPR 註冊體驗，最近 30 天的稽核記錄來計算。

您可以按一下圖表，向下切入並查看每個使用者的最新註冊稽核資訊。

您也可以透過主檢視上的 [使用方式] 索引標籤，深入了解組織中的 SSPR 使用方式，如下列影像所示：