在Azure上收集用户的MFA状态

Question

我正在尝试从Azure中拉出用户列表，以查看他们是否已启用或禁用MFA（出于报告原因），我目前正在使用以下功能：

$cred = Get-Credential
Connect-MsolService -Credential $cred 

$users = Get-msoluser -All 
$users | select DisplayName,@{N='Email';E={$_.UserPrincipalName}},@{N='StrongAuthenticationRequirements';E={($_.StrongAuthenticationRequirements.State)}} | Export-Csv -NoTypeInformation C:\csv.csv

这确实会根据需要进行连接并提取所有用户名和电子邮件，但是$_.StrongAuthenticationRequirements.State返回null。 还有其他方法还是我忽略了某些东西？

Answer 1

您可以在下面的cmd中使用

    Get-MsolUser -all | select DisplayName,UserPrincipalName,@{N="MFA Status"; E={ 
    if( $_.StrongAuthenticationRequirements.State -ne $null) {$_.StrongAuthenticationRequirements.State} else { "Disabled"}}}

或者，您可以使用预建脚本导出Azure用户的MFA状态 。

使用此脚本，您可以基于MFA状态（即仅具有启用状态/强制状态/禁用状态的用户）及其MFA身份验证方法导出结果。

Answer 2

https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-reporting

看来我实际上应该使用

Get-MsolUser -All | where {$_.StrongAuthenticationMethods.Count -eq 0} | Select-Object -Property UserPrincipalName

困惑是使用$_.StrongAuthenticationRequirements而不是$_.StrongAuthenticationMethods

Answer 3

也许使用此处描述的Get-MsolUserByStrongAuthentication函数会更方便： https : Get-MsolUserByStrongAuthentication = Get-MsolUserByStrongAuthentication

Answer 4

为了得到那些残疾人

Get-MsolUser -all | 
   select DisplayName,UserPrincipalName,@{Name="MFA Status"; Expression={ 
    if($_.StrongAuthenticationRequirements.Count -ne 0){ 
        $_.StrongAuthenticationRequirements[0].State
    } else { 
        'Disabled'}
    }
} | where-Object -Property 'MFA Status' -eq Disabled | Sort-Object -Property 'DisplayName'