MFA(Multi-FactorAuthentication)应用之Exchange ECP/OWA

邮件在现在的商业应用中已经越来越重要，几个月前，某知名咨询机构遭遇了史上最严重的******，******了该公司全球电子邮件服务器的管理员账号（未启用双因子认证），让***成功获取了足够访问权限，超过500万封电子邮件和大量客户知识产权、敏感信息可能被泄露。这是继Equifax和美国证券交易委员会SEC***事件后，连续爆出的第三起足以影响全球经济的重大信息安全事故。为了保护电子的安全，很多机构都开始引入多因子认证（MFA，Multi-Factor Authentication）。

在Office365中，很早就开始已经支持MFA了，所以，对于纯O365用户和混合部署的用户，都能方便的使用启用O365和MFA，或是Azure AD的MFA，但对于本地部署的Exchange邮件系统，如果需要，是否也可以使用MFA来保证邮件安全呢?
当然是可以的，但如果是完全本地部署（本地的AD、本地Exchange）会有些限制，因为Exchange OWA界面并不支持输入验证码等窗口，对于下面的四种验证方式，只支持电话呼叫的方式来实现，即：用户在输入用户名密码后，预留的手机上会收到一个来电，要求用户按#键确认，或是输入预先设置的PIN码（由管理员确定设置使用哪一种）！
Azure AD支持的双因子认证方法
电话呼叫 致电用户已注册的电话号码。 用户在必要时输入 PIN，再按 # 键。
短信 向用户的移动电话发送包含 6 位数验证码的短信。 用户在登录页上输入此验证码。
移动应用通知 向用户的智能手机发送验证请求。 用户在必要时输入 PIN，再在移动应用上选择“验证”。
移动应用验证码 在用户智能手机上运行的移动应用将显示验证码，每 30 秒更改一次。 找到最新验证码后，用户在登录页上输入验证码。
第三方 OATH 令牌 可以将 Azure 多重身份验证服务器配置为接受第三方验证方法。

下面来介绍下，如果在On-Premises的Ad、Exchange中实施多因子认证方法！

1、 首必须有一个Azure订阅（可以不是你On-Premises相关的），在AD/MFA服务器、服务器设置，找到：下载MFA服务软件

2、 也可以直接从以下地址下载：
https://www.microsoft.com/en-us/download/details.aspx?id=5