Azure Multi-Factor Authentication Server 的使用者入口網站

使用者入口網站是一個 IIS 網站，可讓使用者註冊 Microsoft Entra 多重要素驗證並維護其帳戶。 使用者可以變更電話號碼、變更 PIN 碼，或選擇在下一次登入期間略過雙步驟驗證。

使用者以一般使用者名稱和密碼登入使用者入口網站，然後完成雙步驟驗證呼叫或回答安全性問題以完成驗證。 如果允許使用者註冊，使用者會在使用者第一次登入使用者入口網站時設定其電話號碼和 PIN。

使用者入口網站管理員istrators 可設定並獲授與新增使用者及更新現有使用者的許可權。

視您的環境而定，您可能會想要將使用者入口網站部署在與 Azure Multi-Factor Authentication Server 相同的伺服器上，或部署在另一部網際網路對向伺服器上。

重要

在 2022 年 9 月，Microsoft 宣佈淘汰 Azure Multi-Factor Authentication Server。 從 2024 年 9 月 30 日起，Azure Multi-Factor Authentication Server 部署將不再服務多重要素驗證要求，這可能會導致貴組織驗證失敗。 為了確保不會中斷的驗證服務並維持在支援的狀態，組織應該 使用最新 Azure MFA Server 更新 中包含的最新移轉公用程式，將其使用者的驗證資料 遷移至雲端式 Azure MFA 服務。 如需詳細資訊，請參閱 Azure MFA 伺服器移轉 。

若要開始使用雲端式 MFA，請參閱 教學課程：使用 Microsoft Entra 多重要素驗證 保護使用者登入事件。

注意

使用者入口網站僅適用于 Multi-Factor Authentication Server。 如果您在雲端中使用多重要素驗證，請參閱 設定您的帳戶以進行雙步驟驗證，或 管理雙步驟驗證 的設定。

安裝 Web 服務 SDK

在任一案例中，如果 Microsoft Entra 多重要素驗證 Web 服務 SDK 尚未 安裝在 Azure Multi-Factor Authentication Server 上，請完成下列步驟。

1. 開啟 Multi-Factor Authentication Server 主控台。
2. 移至 Web 服務 SDK ，然後選取 [ 安裝 Web 服務 SDK ]。
3. 除非您基於某些原因需要變更預設值，否則請使用預設值完成安裝。
4. 將 TLS/SSL 憑證系結至 IIS 中的月臺。

如果您在 IIS 伺服器上設定 TLS/SSL 憑證有疑問，請參閱如何在 IIS 上設定 SSL 一文 。

Web 服務 SDK 必須使用 TLS/SSL 憑證來保護。 自我簽署憑證適用于此目的。 將憑證匯入使用者入口網站網頁伺服器上本機電腦帳戶的「受信任的根憑證授權單位」存放區，以便在起始 TLS 連線時信任該憑證。

在與 Azure Multi-Factor Authentication Server 相同的伺服器上部署使用者入口網站

需要下列必要條件，才能在 與 Azure Multi-Factor Authentication Server 相同的伺服器上 安裝使用者入口網站：

• IIS，包括 ASP.NET 和 IIS 6 中繼基底相容性（適用于 IIS 7 或更高版本）
• 如果適用，則為電腦和網域具有系統管理員許可權的帳戶。 帳戶需要建立 Active Directory 安全性群組的許可權。
• 使用 TLS/SSL 憑證保護使用者入口網站。
• 使用 TLS/SSL 憑證保護 Microsoft Entra 多重要素驗證 Web 服務 SDK。

若要部署使用者入口網站，請遵循下列步驟：

1. 開啟 Azure Multi-Factor Authentication Server 主控台，按一下左側功能表中的 [使用者入口網站 ] 圖示，然後按一下 [ 安裝使用者入口網站 ]。

2. 除非您基於某些原因需要變更預設值，否則請使用預設值完成安裝。

3. 將 TLS/SSL 憑證系結至 IIS 中的月臺

   注意

   此 TLS/SSL 憑證通常是公開簽署的 TLS/SSL 憑證。

4. 從任何電腦開啟網頁瀏覽器，並流覽至安裝使用者入口網站的 URL（範例： https://mfa.contoso.com/MultiFactorAuth ）。 確定不會顯示任何憑證警告或錯誤。

如果您在 IIS 伺服器上設定 TLS/SSL 憑證有疑問，請參閱如何在 IIS 上設定 SSL 一文 。

在不同的伺服器上部署使用者入口網站

如果執行 Azure Multi-Factor Authentication Server 的伺服器不是網際網路對向的伺服器，您應該在 個別的網際網路對向伺服器上安裝使用者入口網站 。

如果您的組織使用 Microsoft Authenticator 應用程式作為其中一個驗證方法，而且想要在其自己的伺服器上部署使用者入口網站，請完成下列需求：

• 使用 Azure Multi-Factor Authentication Server 的 v6.0 或更高版本。
• 在執行 Microsoft Internet Information Services （IIS） 6.x 或更高版本的網際網路面向 Web 服務器上安裝使用者入口網站。
• 使用 IIS 6.x 時，請確定已安裝 ASP.NET v2.0.50727，並設定為 [允許]。
• 使用 IIS 7.x 或更高版本時，IIS，包括基本驗證、ASP.NET 和 IIS 6 中繼基底相容性。
• 使用 TLS/SSL 憑證保護使用者入口網站。
• 使用 TLS/SSL 憑證保護 Microsoft Entra 多重要素驗證 Web 服務 SDK。
• 確定使用者入口網站可以透過 TLS/SSL 連線到 Microsoft Entra 多重要素驗證 Web 服務 SDK。
• 請確定使用者入口網站可以使用「電話Factor 管理員s」安全性群組中的服務帳戶認證，向 Microsoft Entra 多重要素驗證 Web 服務 SDK 進行驗證。 如果已加入網域的伺服器上執行 Azure Multi-Factor Authentication Server，此服務帳戶和群組應該存在於 Active Directory 中。 如果未加入網域，此服務帳戶和群組會存在於 Azure Multi-Factor Authentication Server 本機上。

在 Azure Multi-Factor Authentication Server 以外的伺服器上安裝使用者入口網站需要下列步驟：

1. 在 MFA Server 上，流覽至安裝路徑 （範例：C：\Program Files\Multi-Factor Authentication Server），並將 MultiFactorAuthenticationUserPortalSetup64 檔案 複製到可存取網際網路對向伺服器的位置，供您安裝它。

2. 在網際網路對向 Web 服務器上 ，以系統管理員身分執行 MultiFactorAuthenticationUserPortalSetup64 安裝檔案，視需要變更月臺，並視需要將虛擬目錄變更為簡短名稱。

3. 將 TLS/SSL 憑證系結至 IIS 中的月臺。

   注意

   此 TLS/SSL 憑證通常是公開簽署的 TLS/SSL 憑證。

4. 流覽至 C：\inetpub\wwwroot\MultiFactorAuth

5. 在 記事本 中編輯 Web.Config 檔案

   • 尋找索引鍵 「USE_WEB_SERVICE_SDK」 ，並將 value=「false」 變更 為 value=「true」
   • 尋找索引鍵 「WEB_SERVICE_SDK_AUTHENTICATION_USERNAME」， 並將 value=「」 變更 為 value=「DOMAIN\User」 ，其中 DOMAIN\User 是 「電話Factor 管理員s」 群組的一部分。
   • 尋找金鑰 「WEB_SERVICE_SDK_AUTHENTICATION_PASSWORD」， 並將 value=「」 變更 為 value=「Password」， 其中 Password 是上一行輸入的服務帳戶密碼。
   • 尋找值 https://www.contoso.com/MultiFactorAuthWebServiceSdk/PfWsSdk.asmx ，並將此預留位置 URL 變更為我們在步驟 2 中安裝的 Web 服務 SDK URL。
   • 儲存 Web.Config 檔案並關閉記事本。

6. 從任何電腦開啟網頁瀏覽器，並流覽至安裝使用者入口網站的 URL（範例： https://mfa.contoso.com/MultiFactorAuth ）。 確定不會顯示任何憑證警告或錯誤。

如果您在 IIS 伺服器上設定 TLS/SSL 憑證有疑問，請參閱如何在 IIS 上設定 SSL 一文 。

在 Azure Multi-Factor Authentication Server 中設定使用者入口網站設定

現在已安裝使用者入口網站，您必須設定 Azure Multi-Factor Authentication Server 以使用入口網站。

1. 在 Azure Multi-Factor Authentication Server 主控台中，按一下 [使用者入口網站 ] 圖示。 在 [設定] 索引標籤上，在 [使用者入口網站 URL] 文字方塊中輸入使用者入口網站的 URL 。 如果已啟用電子郵件功能，此 URL 會包含在匯入 Azure Multi-Factor Authentication Server 時傳送給使用者的電子郵件中。
2. 選擇您想要在使用者入口網站中使用的設定。 例如，如果允許使用者選擇其驗證方法，請確定 已核取 [允許使用者選取方法 ]，以及他們可從中選擇的方法。
3. 定義管理員istrators 索引標籤上 應管理員istrators 的人員。您可以使用 [新增/編輯] 方塊中的核取方塊和下拉式清單建立細微的系統管理許可權。

選擇性組態：

• 安全性問題 - 為您的環境定義已核准的安全性問題，以及其出現的語言。
• 傳遞的 會話 - 使用 MFA 設定使用者入口網站與表單型網站整合。
• 受信任的 IP - 允許使用者從受信任的 IP 或範圍清單進行驗證時略過 MFA。

Azure Multi-Factor Authentication Server 為使用者入口網站提供數個選項。 下表提供這些選項的清單，以及其用途的說明。

使用者入口網站設定	描述
使用者入口網站 URL	輸入裝載入口網站的 URL。
主要驗證	指定登入入口網站時要使用的驗證類型。 Windows、Radius 或 LDAP 驗證。
允許使用者登入	允許使用者在使用者入口網站的登入頁面上輸入使用者名稱和密碼。 如果未選取此選項，則方塊會呈現灰色。
允許使用者註冊	允許使用者在多重要素驗證中註冊，方法是將他們帶到設定畫面，提示他們輸入其他資訊，例如電話號碼。 提示備份電話可讓使用者指定次要電話號碼。 提示輸入協力廠商 OATH 權杖可讓使用者指定協力廠商 OATH 權杖。
允許使用者起始單次略過	允許使用者起始一次性略過。 如果使用者設定此選項，當使用者下次登入時，就會生效。 提示略過秒會提供一個方塊，讓使用者可以變更預設值 300 秒。 否則，單次略過僅適用于 300 秒。
允許使用者選取方法	允許使用者指定其主要連絡人方法。 此方法可以是通話、簡訊、行動應用程式或 OATH 權杖。
允許使用者選取語言	允許使用者變更用於通話、簡訊、行動應用程式或 OATH 權杖的語言。
允許使用者啟用行動應用程式	允許使用者產生啟用碼，以完成與伺服器搭配使用的行動應用程式啟用程式。 您也可以設定他們可以在 1 到 10 之間啟用應用程式的裝置數目。
使用安全性問題進行後援	允許發生雙步驟驗證失敗時的安全性問題。 您可以指定必須成功回答的安全性問題數目。
允許使用者建立協力廠商 OATH 權杖的關聯	允許使用者指定協力廠商 OATH 權杖。
使用 OATH 權杖進行後援	當雙步驟驗證未成功時，允許使用 OATH 權杖。 您也可以指定以分鐘為單位的會話逾時。
啟用 記錄	在使用者入口網站上啟用記錄功能。 記錄檔位於：C：\Program Files\Multi-Factor Authentication Server\Logs。

重要

從 2019 年 3 月開始，免費/試用 Microsoft Entra 租使用者中的 MFA Server 使用者將無法使用通話選項。 SMS 訊息不會受到這項變更的影響。 電話通話將繼續提供給付費 Microsoft Entra 租使用者中的使用者。 這項變更只會影響免費/試用版 Microsoft Entra 租使用者。

使用者登入使用者入口網站之後，可以看到這些設定。

自助式使用者註冊

如果您想要讓使用者登入並註冊，您必須選取 [允許使用者登入 ] 和 [允許使用者註冊 ] 選項下的 [設定] 索引標籤。請記住，您選取的設定會影響使用者登入體驗。

例如，當使用者第一次登入使用者入口網站時，會進入 Microsoft Entra 多重要素驗證使用者設定頁面。 視您設定 Microsoft Entra 多重要素驗證的方式而定，使用者或許可以選取其驗證方法。

如果他們選取語音通話驗證方法，或已預先設定為使用該方法，頁面會提示使用者視情況輸入其主要電話號碼和擴充功能。 您也可以允許他們輸入備份電話號碼。

如果使用者在驗證時需要使用 PIN，頁面會提示他們建立 PIN。 輸入電話號碼和 PIN 之後（如果適用），使用者按一下 [立即撥打我驗證] 按鈕。 Microsoft Entra 多重要素驗證會對使用者的主要電話號碼執行通話驗證。 使用者必須接聽電話並輸入 PIN 碼（如果適用），然後按 # 以繼續進行自我註冊程式的下一個步驟。

如果使用者選取簡訊驗證方法，或已預先設定為使用該方法，頁面會提示使用者輸入其行動電話號碼。 如果使用者在驗證時需要使用 PIN，頁面也會提示他們輸入 PIN。 輸入電話號碼和 PIN 之後（如果適用的話），使用者按一下 [ 立即給我發短信] 按鈕。 Microsoft Entra 多重要素驗證會對使用者的行動電話執行 SMS 驗證。 使用者會收到具有一次性密碼的簡訊（OTP），然後回復該 OTP 加上 PIN 的訊息（如果適用）。

如果使用者選取行動應用程式驗證方法，頁面會提示使用者在其裝置上安裝 Microsoft Authenticator 應用程式，並產生啟用碼。 安裝應用程式之後，使用者會按一下 [產生啟用碼] 按鈕。

注意

若要使用 Microsoft Authenticator 應用程式，使用者必須為其裝置啟用推播通知。

然後，頁面會顯示啟用碼和 URL 以及條碼圖片。 如果使用者在驗證時需要使用 PIN，頁面會額外提示他們輸入 PIN。 使用者會在 Microsoft Authenticator 應用程式中輸入啟用碼和 URL，或使用條碼掃描器掃描條碼圖片，然後按一下 [啟用] 按鈕。

啟用完成後，使用者按一下 [ 立即 驗證我] 按鈕。 Microsoft Entra 多重要素驗證會對使用者的行動應用程式執行驗證。 使用者必須輸入 PIN 碼（如果適用），然後按其行動應用程式中的 [驗證] 按鈕，以移至自我註冊程式的下一個步驟。

如果系統管理員已將 Azure Multi-Factor Authentication Server 設定為收集安全性問題和解答，則會將使用者帶到 [安全性問題] 頁面。 使用者必須選取四個安全性問題，並提供其所選問題的解答。

使用者自我註冊現已完成，且使用者已登入使用者入口網站。 使用者可以在未來隨時重新登入使用者入口網站，以在系統管理員允許變更其方法時變更其電話號碼、PIN、驗證方法和安全性問題。

下一步

• 部署 Azure Multi-Factor Authentication Server Mobile App Web Service