NIST 验证器类型和保持一致的 Microsoft Entra 方法

当请求方声称其控制了与订阅方关联的一个或多个验证器时，会开始身份验证过程。 订阅方可以是人员，也可以是其他实体。 使用下表了解美国国家标准技术研究院 (NIST) 验证器类型和关联的 Microsoft Entra 身份验证方法。

NIST 验证器类型	Microsoft Entra 身份验证方法
记住的密码 （已知内容）	密码：云帐户、联合帐户、密码哈希同步、直通身份验证
查找机密 （已有内容）	无
单因素带外 （已有内容）	Microsoft Authenticator 应用（推送通知） 电话（短信）：不建议
多重带外 （已有内容 + 已知内容或表明身份的内容）	Microsoft Authenticator 应用（无密码）
单因素一次性密码 (OTP) （已有内容）	Microsoft Authenticator 应用 (OTP) 单因素硬件/软件 OTP1
多因素 OTP （已有内容 + 已知内容或表明身份的内容）	被视为单因素 OTP
单因素加密软件 （已有内容）	单因素软件证书 已建立 Microsoft Entra 联接 2，带软件 TPM 已建立混合 Microsoft Entra 联接 2，带软件 TPM 兼容的移动设备
单因素加密硬件 （已有内容）	已建立 Microsoft Entra 联接 2，带硬件 TPM 已建立混合 Microsoft Entra 联接 2，带硬件 TPM
多重加密软件 （已有内容 + 已知内容或表明身份的内容）	多重软件证书（受 PIN 保护） 带软件 TPM 的 Windows Hello 企业版
多重加密硬件 （已有内容 + 已知内容或表明身份的内容）	受硬件保护证书（智能卡/安全密钥/TPM） 带硬件 TPM 的 Windows Hello 企业版 FIDO 2 安全密钥 macOS 平台凭据

¹ 30 秒或 60 秒 OATH-TOTP SHA-1 令牌

² 有关设备联接状态的详细信息，请参阅 Microsoft Entra 设备标识

不建议使用公用交换机电话网络 (PSTN) 短信/语音

NIST 不建议使用短信或语音。 设备交换、SIM 更改、数字移植和其他行为所面临的风险可能导致问题。 如果这些为恶意操作，则可能导致不安全的体验。 尽管不建议使用短信/语音，但这种方式比只使用密码要好，因为它们需要黑客耗费更多的精力。

后续步骤

NIST 概述

了解 AAL

身份验证基础知识

NIST 验证器类型

使用 Microsoft Entra ID 实现 NIST AAL1

使用 Microsoft Entra ID 实现 NIST AAL2

使用 Microsoft Entra ID 实现 NIST AAL3