So überprüfen Sie MFA-Ansprüche in Sicherheitstoken mit Entra ID

Übersicht

Viele Organisationen haben gefragt, ob sich anhand von Ansprüchen (Claims) in einem Sicherheitstoken, etwa einer SAML-Antwort oder einem OAuth-Token, feststellen lässt, ob ein Benutzer die Multi-Faktor-Authentifizierung (MFA) abgeschlossen hat. In diesem Artikel erkläre ich, wie Entra ID (ehemals Azure AD) diese Informationen in Sicherheitstoken aufnimmt und wie Sie sie für Ihren Anwendungsfall überprüfen können.

Authentifizierungsansprüche verstehen

SAML- und OAuth-Authentifizierungsansprüche

SAML-Token: Entra ID verwendet den Anspruchsnamen http://schemas.microsoft.com/claims/authnmethodsreferences, um die Authentifizierungsmethode anzugeben, die während des Anmeldevorgangs verwendet wurde.
OAuth-Token: Der Wert amr(Authentication Methods References) wird verwendet, um die Authentifizierungsmethode in OAuth-Token anzugeben.

Entra ID-Konfiguration

Die gute Nachricht ist, dass Entra ID den Anspruch http://schemas.microsoft.com/claims/authnmethodsreferences standardmäßig enthält, um anzugeben, ob die MFA abgeschlossen wurde. Auf der Entra ID-Seite ist keine zusätzliche Konfiguration erforderlich.

So prüfen Sie MFA-Ansprüche in Sicherheitstoken

Fall 1: Nur mit Passwort angemeldet (keine MFA)

Wenn sich ein Benutzer nur mit seinem Passwort anmeldet (ohne MFA), hat der Anspruch http://schemas.microsoft.com/claims/authnmethodsreferences einen einzigen Wert:

Anspruchswert:
http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password

Beispiel für den Anspruch im Token:

<Attribute Name="http://schemas.microsoft.com/claims/authnmethodsreferences">
    <AttributeValue>http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password</AttributeValue>
</Attribute>

Fall 2: Mit Passwort und MFA angemeldet

Wenn sich ein Benutzer sowohl mit einem Passwort als auch mit MFA anmeldet (z. B. mit einer Authenticator-App oder einer anderen Verifizierungsmethode), enthält der Anspruch http://schemas.microsoft.com/claims/authnmethodsreferences zwei Werte:

Anspruchswerte:
http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password
http://schemas.microsoft.com/claims/multipleauthn

Beispiel für den Anspruch im Token:

<Attribute Name="http://schemas.microsoft.com/claims/authnmethodsreferences">
    <AttributeValue>http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password</AttributeValue>
    <AttributeValue>http://schemas.microsoft.com/claims/multipleauthn</AttributeValue>
</Attribute>

So überprüfen Sie den Abschluss der MFA

Um zu überprüfen, ob die MFA abgeschlossen wurde, müssen Sie lediglich prüfen, ob der Wert http://schemas.microsoft.com/claims/multipleauthn unter dem Anspruchsnamen http://schemas.microsoft.com/claims/authnmethodsreferences vorhanden ist.

Wenn der Wert vorhanden ist: Die MFA wurde abgeschlossen.
Wenn der Wert nicht vorhanden ist: Der Benutzer hat sich nur mit seinem Passwort angemeldet.

Warum das wichtig ist

Durch die Prüfung der Ansprüche in Sicherheitstoken können Sie programmatisch bestätigen, ob die MFA während der Authentifizierung erzwungen wurde. Dies ist besonders nützlich für Organisationen, die die Einhaltung von Sicherheitsrichtlinien sicherstellen müssen oder sich in Drittanbieter integrieren, die eine MFA-Verifizierung erfordern.

Fazit

Entra ID macht es einfach, MFA-Ansprüche in Sicherheitstoken zu überprüfen, indem die erforderlichen Informationen standardmäßig enthalten sind. Ob Sie mit SAML- oder OAuth-Token arbeiten, der Anspruch http://schemas.microsoft.com/claims/authnmethodsreferences liefert die Details, die Sie benötigen, um festzustellen, ob die MFA während des Anmeldevorgangs eines Benutzers abgeschlossen wurde.

Wenn Sie dies in Ihrer Organisation implementieren oder mit einem Partner oder Anbieter teilen müssen, verweisen Sie diese einfach auf die entsprechenden oben aufgeführten Anspruchswerte.