<div dir="ltr"><div dir="ltr">hi,</div><div class="gmail_quote gmail_quote_container"><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
It occurred to me that if MS supported a model where only MFA was applied and password authentication was just skipped, that's more or less how Duo works now anyway (it's an OP you proxy to via OIDC). I don't know if MS supports that model or not.<br></blockquote><div><br></div><div>I believe that EntraID can be configured to allow logins only using non-password mechanisms (eg FIDO2 key/passkey or windows authenticator/windows hello etc) - but it's not something that I've deployed or had any hands-on experience with and the docs all talk about passing kerberos tokens back to the on-prem directory and having windows clients of a specific flavour - so I don't know how that would play in the 'just proxy SAML2 and deal with an authentication and any web client' playground.  </div><div><br></div><div>I noted this after I received communication about being able to configure my microsoft account to have no password </div><div><br></div><div>alan</div></div></div>