Azure AD 安全和多因素身份验证令牌 - 关于可访问声明

Question

我对有关 Azure AD 和多因素身份验证 (MFA) 的令牌有疑问。

因此，我设法调查了在为启​​用和未启用 MFA 的用户发送令牌时会发生什么。

我观察到的是，在令牌的有效载荷中，在: "amr": []标签中有一个额外的声明。 默认情况下，该对象中有一个“pwd”，但对于 MFA，还有一个称为“mfa”的声明。

所以现在我知道令牌会根据启用的选项以某种方式被修改。

是否有其他声明或机制来获取令牌颁发给的设备的特定 ID。 通过 Azure AD 中的“Workplace Join”或通过 Microsoft Authenticator App 可能与其注册相关的设备 ID？

是否有单独发送的令牌与论坛和文档中不断讨论的应用程序通行证相关？

- - - - - - - - - - - - - 更新 - - - - - - - - - - - - ----------

好的，读取应用程序密码，它基本上用作验证多因素身份验证的另一种形式。 我猜它既存储在 Azure AD 上，也存储在身份验证应用程序内的手机上。

那么另一个问题，是否可以通过代码访问此密码？

Answer 1

Azure AD 发布的 id_token 中没有关于设备信息的此类声明。 您可以从以下链接引用 id_token 中的所有声明：

Azure AD 令牌参考

Azure Active Directory v2.0 令牌参考

是否可以通过代码访问此密码？

据我所知，没有像 Azure Graph REST 这样的 API 可以检索密码。 如果您对 MFA 有任何建议，可以从这里的链接提交。