用Azure AD 实现Web 应用身份认证的Multi-Factor Authentication(MFA)

对了，还需要记下订阅的tenant id。这个大家用powershell或者azure cli登录一下就知道了

• Web应用的配置

1. 在\src\main\webapp\WEB-INF\web.xml里修改authority（必须如下图所示）,tenant （上文提到的tenant id）,client_id（上文提到的应用程序ID）,secret_key（上文创建的秘钥值）的值 。

改动前：

改动后：

　　2. 在\src\main\java\microsoft\aad\adal4jsample\AadController.java里修改方法 getUsernamesFromGraph

　　3. 在\src\main\java\microsoft\aad\adal4jsample\BasciFilter.java里把“graph.windows.net”修改为“graph.chinacloudapi.cn”

全部完成后打包编译，mvn package ，把war包部署到本机的tomcat，在browser里输入http://localhost:8080/adal4jsample，得到以下页面

点击secure page，页面跳转到中国的Azure AD做身份鉴权，

输入用户名和密码后登陆Web应用的主页如下。

配置MFA

接下来我们要做的事情是在Azure AD里添加web应用的用户，assign用户到web应用并且开启MFA

在注册了Web应用的AAD 目录里添加用户MFAuser

选择“Enable Multi-Factor Authentication" 选项，这里我们还会收到一个临时的password

进入应用程序页面中我们上文注册的Web 应用，把新创建的用户assign给Web应用

打开浏览器，输入http://localhost:8080/adal4jsample/，页面跳转到中国AAD做身份认证，输入新建的用户名和临时密码，页面显示要求配置MFA

AAD MFA可以配置电话，短信，移动device等多种选项，我们选择Authentication Phone和Send me a code by text message

之后，手机会收到一个来自国外的短消息，用里面的code就可以完成最后的verify步骤

重新打开浏览器，输入http://localhost:8080/adal4jsample/，页面跳转到中国AAD做身份认证，这次只需要给出用户名，手机会收到验证码

输入验证码后，身份验证成功，登陆系统正常

Import-Module MSOnline 
$username=’xxxxxx’ 
$password=’yyyyyyyy’ 
$securepassword=Convertto-SecureString –String $password –AsPlainText –force 
$credentials=New-object System.Management.Automation.PSCredential $username,$securepassword 
Connect-MsolService –Credential $credentials 
$users = Get-msoluser -All | where {$_.UserPrincipalName -like ‘*zzzzzz‘} 
$mfausers = $users | select DisplayName,@{N=‘Email‘;E={$_.UserPrincipalName}},@{N=‘StrongAuthenticationRequirements‘;E={($_.StrongAuthenticationRequirements.State)}} | Sort-Object StrongAuthenticationRequirements 
$nostrong = $mfausers | Where-Object StrongAuthenticationRequirements -like ‘‘ | Select-Object DisplayName,Email,StrongAuthenticationRequirements 
$auth = New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement 
$auth.RelyingParty = "*" 
$auth.State = "Enabled" 
$auth.RememberDevicesNotIssuedBefore = (Get-Date) 
$nostrong | Foreach {Set-MsolUser -UserPrincipalName $_.Email -StrongAuthenticationRequirements $auth}

 最后提醒一下，电话和短信平台都在海外，所以都是通话和短消息英语