未开启MFA的用户指未注册任何验证方法的用户，可通过AzureAD模块执行Get-AzureADUser -All $true | Where-Object {$_.StrongAuthenticationMethods.Count -eq 0}筛选并导出CSV，同时需结合Conditional Access策略检查与自助注册引导。
要批量查询所有未开启多因素认证（mfa）的用户，需结合 microsoft graph api 或 azure ad powershell 模块（azuread），因为原生 powershell（如 msonline 模块）已弃用，且 mfa 状态在 azure ad 中不直接暴露为单一属性，需通过用户注册的 mfa 方法或 conditional access 策略状态间接判断。
确认使用 AzureAD 模块并连接到租户
确保已安装并导入 AzureAD 模块，并以具有全局管理员或特权身份验证管理员权限的账户登录：
- 安装模块（若未安装）：
Install-Module AzureAD -Force -AllowClobber - 连接租户：
Connect-AzureAD，按提示完成登录 - 注意：仅
AzureAD（非旧版MSOnline）支持现代 MFA 状态查询能力
查询未注册任何 MFA 方法的用户（最常用场景）
Azure AD 中“未开启 MFA”通常指用户尚未注册任何验证方法（如手机、验证器应用、安全密钥）。可使用 Get-AzureADUser 配合 StrongAuthenticationMethods 属性筛选：
- 执行脚本示例：
$users = Get-AzureADUser -All $true | Where-Object { $_.StrongAuthenticationMethods.Count -eq 0 } $users | Select-Object UserPrincipalName, DisplayName, ObjectId | Export-Csv "MFA-Unregistered.csv" -NoTypeInformation - 说明：
StrongAuthenticationMethods是用户显式注册的验证方式列表；为空表示未完成初始 MFA 注册 - ⚠️ 注意：该方法不反映 Conditional Access 强制策略是否生效，仅反映注册状态
补充检查 Conditional Access 策略下的强制状态（进阶）
即使用户未注册 MFA，若租户启用了强制 MFA 的 Conditional Access 策略，用户首次登录时会被要求设置。PowerShell 本身无法直接导出 CA 策略对每个用户的实时执行结果，但可检查策略是否启用并作用于全体用户：
- 列出启用且作用于“所有用户”的 CA 策略：
Get-AzureADMSConditionalAccessPolicy | Where-Object { $_.State -eq 'enabled' -and $_.Conditions.Users.IncludeUsers -contains 'All' } - 若存在此类策略，应优先推动用户完成注册，而非仅依赖“未注册”清单
- 真实 MFA 执行状态需结合 Sign-in Logs（通过 Graph API 或 Azure Portal 审计）分析
导出结果并后续处理建议
生成的 CSV 文件可用于通知、分组启用自助注册或配合自动化流程：
- 添加时间戳和租户信息便于追踪：
$timestamp = Get-Date -Format "yyyyMMdd-HHmm" - 对高权限账号（如全局管理员）单独标记：
Where-Object { $_.DirectoryRoleNames -contains "Global Administrator" }（需先获取角色分配） - 避免直接启用 MFA 脚本化操作——必须保障备用验证方式就绪，否则将导致账户被锁
不复杂但容易忽略：MFA 状态不是布尔开关，而是注册状态 + 策略控制 + 登录上下文的组合结果。脚本查出的“未开启”用户，本质是“未注册”，应引导其访问 https://www.php.cn/link/bf6ee187db44f2931898bf4d7939092f 完成自助配置。
