关于我在脚本中使用MFA启用的账户的经验,唯一能够绕过MFA的方法是使用没有“-Credential”参数的cmdlet。
MFA的主要用途是保护账户免受以下威胁:运行在被攻击的账户上的脚本。
更新:
因此,有一种方法可以通过编程方式获取令牌。这是通过利用安装Azure模块和/或其他O365模块时附带的ADAL二进制文件完成的。没有简单的方法来提示并将令牌存储在变量中。
您需要在脚本中加载DLL以开始缓存令牌:
Add-Type -Path 'C:\Program Files\WindowsPowerShell\Modules\AzureAD\2.0.x.x\Microsoft.IdentityModel.Clients.ActiveDirectory.dll'
你可以使用
AcquireTokenAsync 方法预先获取访问令牌。
$accesstoken = [Microsoft.IdentityModel.Clients.ActiveDirectory.TokenCache]::DefaultShared
$accesstoken.ReadItems() | select DisplayableId, Authority, ClientId, Resource
上述的ReadItem()方法将给您所有存储令牌所需的信息。
$authContext = New-Object "Microsoft.IdentityModel.Clients.ActiveDirectory.AuthenticationContext" -ArgumentList
$client_id = "CLIENT_ID INFO"
$Credential = Get-Credential YOURUSERNAME@COMPANY.COM
$AzureADCred = New-Object "Microsoft.IdentityModel.Clients.ActiveDirectory.UserPasswordCredential" -ArgumentList $Credential.UserName,$Credential.Password
$authResult = [Microsoft.IdentityModel.Clients.ActiveDirectory.AuthenticationContextIntegratedAuthExtensions]::AcquireTokenAsync($authContext,"https://RESOURCE-URL.COM",$client_Id,$AzureADCred)
一旦您获得了令牌,就可以使用它连接到您的会话,无论是Exchange Online、Azure还是Office。
$Authorization = "Bearer {0}" -f $authResult.Result.AccessToken
$Password = ConvertTo-SecureString -AsPlainText $Authorization -Force
$Ctoken = New-Object System.Management.Automation.PSCredential -ArgumentList "YourCompanyUserAccount@COMPANY.COM", $Password
需要注意的是,这些只适用于访问令牌,不包括刷新令牌。根据您使用的ADAL二进制文件,您甚至可能无法获取刷新令牌。
如需了解有关访问令牌的更多信息,请在此处进行更多研究。