将 EntraID 用户和多因素身份验证 (MFA) 用于 Unattended Robot

将 EntraID 用户与 MFA 用于 Unattended Robot，包括支持的身份验证因素以及仅使用密码还不够时的限制。

This page explains how to configure unattended robots to authenticate with EntraID users that have multifactor authentication (MFA) enabled. It covers creating virtual smart cards on robot machines, configuring Entra certificate-based authentication, and understanding the constraints that apply to MFA in unattended environments.

多因素身份验证 (MFA) 要求用户使用两个或多个因素验证其身份，额外增加了一层安全性，例如：

• 您知道的某些东西：密码
• 您拥有的某些东西：移动设备或智能卡
• 您自己的某些特征：指纹或面部扫描

即使密码被盗，MFA 也能阻止未经授权的访问。但是，设置无人值守自动化时，会增加复杂性。

密码被视为单一身份验证因素。由于 MFA 至少需要两个因素，因此 Robot 无法仅使用密码凭据创建用户会话。

为了使 MFA 用户能够进行身份验证，您可以改用智能卡凭据。

重要提示：

智能卡身份验证需要将“登录到控制台”设置为 “True”。它不适用于 RDP 会话，这意味着它与 High-Density Robot 环境不兼容。有关更多详细信息，请参阅“智能卡身份验证”。

步骤 1：创建虚拟智能卡

虚拟智能卡更易于在多台计算机中部署和管理。

您必须在运行 Robot 的所有虚拟机 (VM) 上创建虚拟智能卡。为执行自动化的每个 Entra ID 用户执行此操作。

虚拟智能卡的功能与实体智能卡一样，但不使用实体容器，而是依赖计算机的可信平台模块 (TPM) 芯片安全地存储加密密钥。

步骤 2：配置基于 Entra 证书的身份验证

创建虚拟智能卡后，配置基于 Entra 证书的身份验证，以便 Entra ID 用户使用证书进行身份验证。

用于身份验证的证书必须配置为多因素，以满足 MFA 要求。