網路上有文件，但是有文件未必能看到一些實際的畫面，會有點沒有實感。
最近開始做Entra MFA相關整合測試，以下是成果畫面，先感受一下。
關於如何部署與設定？後續會花時間整理，預計分為：NPS篇、SAML篇。至於Cloud Identity，已經有Aruba ClearPass 整合 Azure AD 做網路驗證。
無線802.1X認證時導入Entra做MFA
無線連線Web Login搭配SAML做MFA
SSH到設備時，搭配Entra做MFA
登入設備管理WebUI時，搭配Entra做MFA
場景解說
無線802.1X認證時導入Entra做MFA
由於我的測試電腦是使用有線，因此在連上無線網路的判斷就沒有那麼即時。
有線網路也能讓我在畫面中，就透過Windows與手機連動，讓本該在手機的Authenticator可以出現在電腦螢幕上。
在連線過程中，可以看到花費很多時間在等待MFA。
MFA同意之後，右下角也出現無線訊號已經連線且具有網際網路能力。
然後手動斷線，再重新做一次連線。
這一次就沒有再跳出MFA，然後就快速連上了。
SSH到設備時，搭配Entra做MFA
能做到《無線802.1X認證時導入Entra做MFA》之後，其實這點就沒有什麼好提到。
管理連線做MFA是比網路連線做MFA，更具有實用價值。
ClearPass在前端可以引用更多條件判斷，然後才決定要不要「命中服務」或是「通過認證」。
網路設備管理員登入驗證可以支援RADIUS與TACACS協定，這邊是使用TACACS去完成。
登入設備管理WebUI時，搭配Entra做MFA
Aruba Gateway WebUI登入，實際上是使用PAP或是MSCHAPv2驗證方法，對應是RADIUS協定。
與SSH登入設備時的MFA一起看，其實RADIUS與TACACS都可以完成介接Entra做MFA。
無線連線Web Login搭配SAML做MFA
這換個順序到最後，是因為前三者在驗證流程是類似的。
這個則是直接由ClearPass做SAML，並且觸發Entra應用程式的條件式存取，然後做MFA。
前三者後面是有串NPS與相關配套，這個就不需要NPS了。
由於SAML的特性，在ClearPass SSO都是應用程式的服務，因此Web Login得做成CoA形式的登入，也就是會需要等待秒數後跳轉。
(個人)沒辦法做到直接跳轉，不等待的方法。
簡述如何做
這邊都是使用ClearPass做為認證伺服器，後續可能會串接NPS、SAML等，達到與Entra連動。
本文旨在「MFA」，只要能在過程中，讓手機Authenticator上跳出推播通知，按下核准才能通過，就符合所有。
| 串接到Entra的路線 | 微軟授權 | Entra上操作 | 場景 |
| SAML | P1 | 企業應用程式 SAML設定 條件式存取 | Web Login |
| NPS | P1 | AD 與 AAD 同步 地端AD使用者帳號同步到AAD 地端AD使用者要套上授權 | 802.1X Web Login |
| Cloud Identity | Free | 企業應用程式 憑證及祕密 定期更換Secret | Web Login |
SAML
Entra需要有授權，如果需要透過企業應用程式「條件式存取」去觸發MFA，就需要擁有包含Entra ID P1的授權。
因此，SAML搭配P1授權。
而P1授權是可以免費試用一個月，可以藉此做練習。基本上企業買的微軟訂閱，大部分包含P1。
相比Cloud Identity，SAML沒有要定期更換Secret的需求，建好就能一直用。
部署也算是容易的，可以參考：https://solutiontechlab.com/2026/05/06/secure-byod-access-with-clearpass-and-entra-id-using-saml-sso/
NPS
NPS包含NPS(Extension)，是一個部署流程比較長的過程。
NPS一旦裝了NPS Extension然後把指令註冊做了，基本上就會套用所有NPS認證服務，沒辦法在NPS針對特定使用者去放行不做MFA。
建議新建一台NPS。
串接完成後，認證會變成兩階段，第一階段跟AD內的先對身份訊息，第二階段才去Entra並觸發MFA。
如果拿一般RADIUS概念串接，那第一階段通過，對ClearPass也可能算是認證通過，但是實際上是需要兩個階段都通過，ClearPass才可以當作認證成功。要怎麼在ClearPass設定？在設定篇會寫到。
當然，實際上連線時MFA沒過，終端裝置是不會認為自己有連上的，在ClearPass Access Tracker會以208錯誤代碼。
NPS方式可以作為802.1x驗證、SSH、設備管理WebUI後續串接，其他兩個路線SAML、Cloud Identity都是Web形式，是沒有辦法作為前述三個場景使用。
NPS也是建好就能一直用，沒有定期更換值或是憑證的維運負擔。
Cloud Identity
這是不用Entra授權的方案。
在Entra上設定應用程式，憑證及祕密，然後完成ClearPass串接，就能使用。
部署難易度是最簡單的。
只要把Entra上的 租戶ID、應用程式ID、Secret貼到ClearPass就能完成串接。
缺點是Secert最多只有七百天的期限可簽，因此過一段時間後，要在Entra上新申請新的用戶端密碼
，然後再更換ClearPass上的Secret。