你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Microsoft Authenticator 应用为 Azure AD 工作或学校帐户或 Microsoft 帐户提供附加的安全级别，并可用于 Android 和 iOS。 使用 Microsoft Authenticator 应用，用户可以在登录期间以无密码方式进行身份验证，或在自助服务密码重置 (SSPR) 或多重身份验证事件期间将这种方式作为附加的身份验证选项使用。

用户可能会通过移动应用收到通知，并在其中批准或拒绝，或使用 Authenticator 应用生成可在登录界面中输入的 OATH 验证码。 如果同时启用了通知和验证码，注册 Authenticator 应用的用户可以使用任一方法验证其身份。

若想在出现登录提示时使用 Authenticator 应用而不是用户名和密码的组合，请参阅启用使用 Microsoft Authenticator 进行无密码登录。

注意

在 Authenticator 应用中启用手机登录的用户在输入用户名后，看到的不是密码提示，而是一条消息，让他们在应用中输入一个数字。 如果选择了正确的数字，则登录过程完成。

此身份验证方法提供的安全级别高，并且无需用户在登录时提供密码。

若要开始使用无密码登录，请参阅启用使用 Microsoft Authenticator 进行无密码登录。

Authenticator 应用通过将通知推送到智能手机或平板电脑，可帮助防止对帐户进行未经授权的访问，以及停止欺诈性交易。 用户将查看通知，如果信息合法，则选择“验证”。 否则，可以选择“拒绝”。

在负责推送通知的相关 Google 或 Apple 服务关闭的极少数情况下，用户可能无法收到推送通知。 在这些情况下，用户应手动导航到 Microsoft Authenticator 应用（或相关配套应用，例如 Outlook），通过下拉或点击“刷新”按钮进行刷新，然后批准请求。

注意

如果你的组织有员工在中国工作或要前往中国，则 Android 设备上的移动应用通知方法在该国家/地区不起作用，因为 Google Play 服务（包括推送通知）在该区域被阻止。 但 iOS 通知可以正常工作。 对于 Android 设备，应向这些用户提供备用身份验证方法。

Authenticator 应用可用作生成 OATH 验证码所需的软件令牌。 输入用户名和密码后，在登录界面中输入 Authenticator 应用提供的代码。 验证码提供了第二种形式的身份验证。

注意

基于证书的身份验证不支持 Authenticator 生成的 OATH 验证码。

用户可以具有最多 5 个 OATH 硬件令牌或验证器应用程序（如配置为可随时使用的 Authenticator 应用）的组合。

从版本 6.6.8 开始，适用于 iOS 的 Microsoft Authenticator 在使用以下方法的所有 Azure AD 身份验证中都符合美国联邦信息处理标准 (FIPS) 140：推送多重身份验证 (MFA)、无密码手机登录 (PSI) 和基于时间的一次性密码 (TOTP)。  

根据 NIST SP 800-63B 中概述的准则，验证器需要使用经 FIPS 140 验证的加密技术。 这有助于联邦机构满足行政命令 (EO) 14028 和使用受管制物质电子处方 (EPCS) 的医疗保健组织的要求。 

FIPS 140 是美国政府标准，用于定义信息技术产品和系统中加密模块的最低安全要求。 针对 FIPS 140 标准的测试由加密模块验证计划 (CMVP) 维护。

无需在 Microsoft Authenticator 或 Azure 门户中更改配置即可实现 FIPS 140 合规性。 从适用于 iOS 的 Microsoft Authenticator 版本 6.6.8 开始，Azure AD 身份验证默认符合 FIPS 140 标准。

从 Microsoft Authenticator 版本 6.6.8 开始，验证器利用本机 Apple 加密在 Apple iOS 设备上实现 FIPS 140 安全级别 1 的合规性。 有关所使用的认证的详细信息，请参阅 Apple CoreCrypto 模块。 

针对适用于 Android 的 Microsoft Authenticator 的 FIPS 140 合规性的工作还在进展中，很快会推出。

用户可以通过访问 https://aka.ms/mysecurityinfo 或从“我的帐户”中选择“安全信息”来管理和添加其他 Microsoft Authenticator 注册。 特定图标用于区分 Microsoft Authenticator 注册是否能够进行无密码电话登录或多重身份验证。

若要开始使用无密码登录，请参阅启用使用 Microsoft Authenticator 进行无密码登录。

详细了解如何使用 Microsoft Graph REST API 配置身份验证方法。