基于Azure多因素认证的R2在Windows2012中的应用

Question

谢谢你提前阅读这篇文章。

我想要求用户在登录到Office 365邮箱时，使用Azure移动应用程序进行多因素身份验证。我不需要使用MFA来获得任何其他资源。我已经在Windows2012上部署了ADFS，R2已经部署在今天的办公场所。

是否需要在现场安装多因素身份验证服务器？或者，我可以像在https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-adfs#secure-azure-ad-resources-using-ad-fs中描述的那样配置ADFS而不安装多因素身份验证服务器吗？如果我不需要的话，我宁愿避免这种安装。

另外，如果我为每个用户购买一个，那么“企业移动+安全E3”许可是否足够呢？

Answer 1

1)是否需要安装现场多因素认证服务器？

你要问的是所谓的“MFA服务器”和所谓的“Azure MFA”之间的区别。如果您想要保护的是Office 365资源，那么您所需要的就是Azure MFA。在这里阅读有关您在各种场景中需要的版本的指南：https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-whichversion

但是，这是一个很大的问题，因为您正在运行ADFS3.0，因此需要在前提下设置Azure MFA服务器。在这里阅读更多关于这一点的信息：https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfaserver-adfs-2012

我没有使用Azure MFA和ADFS 3.0的经验。我的建议是升级到Windows 2016上的ADFS 4.0，然后再转到Azure MFA。Sever 2016本地支持Azure MFA，不需要在前提下安装或使用Azure MFA服务器。这要简单得多。

2)我能否按.中所述配置MFA？

不是的。该页面是一个极端的简化，涉及到什么是建立Azure MFA。它不包括使用Server 2012或Server 2016设置ADFS。我不明白为什么它甚至存在，因为它只是一个部分剪辑的网站，我链接到上面，这显然显示了更多的参与。不要跟随它，因为它不会让你到达你想去的地方。需要更多的参与和规划。例如，您打算如何验证您的用户，配置您想要允许的第二个因素，在使用Azure AD设备注册时绕过受信任的设备，应用密码，以及如何更新非windows设备、单点登录、条件访问等。

3)此外，如果我为每个用户购买一个，“企业移动+安全E3”许可是否足够？

是。完全的Azure MFA体验可与任何活动目录溢价订阅一起使用，该订阅包含在任何Office 365许可证包中，包括企业移动。有关Azure和许可的不同版本的更多信息可以在这里找到：https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-mfa-licensing#how-to-get-azure-multi-factor-authentication-1

我自己也注意到这一点:投资到服务器2016，并将您的ADFS升级到4.0。它支持Azure MFA，几乎所有组件都从Windows服务器的早期版本中进行了大规模的大修，并进行了各种云准备的改进。省省头痛吧。