迁移到“身份验证方法”策略可简化并提升 Microsoft Entra ID 中的身份验证管理。此转换可简化管理，增强安全性，并提供对最新身份验证方法的支持。为避免因弃用旧策略造成中断，请在 2025 年 9 月之前完成迁移。

<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-authentication-methods-manage#legacy-mfa-and-sspr-policies">以前</a>，对于多因素身份验证 (MFA) 和自助密码重置 (SSPR) 策略，需要在 Microsoft Entra ID 中<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-registration-mfa-sspr-combined">分别</a>进行身份验证设置。这种分散的方式导致难以统一管理身份验证方法，增加了管理的复杂性，并且会带来潜在的安全风险（因策略不一致所致）。
事实上，这些 <a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-authentication-methods-manage#how-policies-work-together">旧策略不会同步设置</a>，这意味着一种身份验证方法可以在一个策略中启用，但在另一个策略中禁用（系统启动时会先检查 MFA 策略，然后再检查 SSPR 策略）。这种不同步可能会导致用户无意中通过过时或不太安全的方法获得访问权限。
最重要的是，与“身份验证方法”策略不同，旧策略既不支持基于组的目标定位，也不支持<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/howto-authentication-temporary-access-pass">临时访问通行证</a>和 <a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-authentication-passwordless#passkeys-fido2">FIDO2 安全密钥</a>等最新的安全身份验证选项。这不仅限制了对特定用户组运用不同身份验证方法的能力，还延迟了安全无密码身份验证方法的采用，从而使组织更容易遭受网络钓鱼和凭据盗窃的攻击。
根据 BOD 25-01 的规定，CISA“Microsoft Entra ID 的 M365 安全配置基准”中的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.4v1</a> 策略明确要求：“身份验证方法管理迁移”功能应设置为“迁移完成”。Microsoft 在“<a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/configure-security#migrate-from-legacy-mfa-and-sspr-policies">配置 Microsoft Entra 以提高安全性</a>”一文中还建议“迁移到新版 MFA 和 SSPR 策略”。

检测

身份验证方法迁移未完成

MEDIUM

版本 202507230918

版本 202505121217

版本 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
版本 202505121217 May 12, 2025, 12:17 PM New Release: 202505121217