需求：作為IT Admin，為了加強用戶的安全使用，你為所有公司員工啟用了多重身份驗證（MFA），但公司的Help Desk 反饋說，近期接到公司總部的員工對MFA問題的詢問電話數(shù)量有所增加，報告顯示：員工若在公司總部工作，他們會收到MFA請求，為解決該問題，你需要阻止用戶從公司總部登錄時收到MFA請求，該如何操作呢？
解決方案分析：
在為公司員工啟用多重身份驗證之前，應該考慮配置一些可用的設置，其中最重要的就是可信的IPs列表，這樣你可以為網(wǎng)絡設置一系列的IP白名單，這樣，當用戶在公司總部工作時，他們不會收到MFA的提示，而當他們把設備帶到其他地方（非公司總部）時，他們就會收到MFA提示。
如何做到這一點呢？
1.登錄到Azure門戶網(wǎng)站
2.Azure Active Directory->All Services->Conditional Access->Named Locations, 在頂部工具欄中選擇“配置MFA信任的IPs”
3.在配置MFA信任的IPs頁面，有2個選項：
? 最簡單的方法是在文本框中添加一個IP地址范圍，然后，你可以配置要允許的MFA驗證選項，并保存，強制執(zhí)行MFA的任何用戶在該IP范圍內(nèi)時都不會被提示。
? 如果你已經(jīng)在公司部署了ADFS，那么你可以選擇“對來自Intranet上的ADFS用戶的 請求跳過MFA驗證”的復選框，你需要向ADFS添加一條規(guī)則來添加內(nèi)部網(wǎng)路聲明，這與添加IP地址的效果是相同的
配置完成之后，再為用戶啟用Azure MFA身份驗證，這里就不重復介紹了。
相關資料：
? Using the Location Condition in a Conditional Access Policy
? Conditional Access：Require MFA for all Users
? Conditional Access：Block Access By Location
閩公網(wǎng)安備 35010202001226號
