账号密码都对，登录还是被直接拒绝——问题出在从没注册过的多重验证
用户反映登录 Microsoft 365 门户网站时一直被拒绝，反复确认账号密码都没有输错。这类”账号密码正确，但登录仍然失败”的情况，如果只盯着账号本身排查（改密码、解锁账号），很容易白费功夫——因为问题可能根本不在账号凭证这一层。
用系统自带的诊断工具，而不是靠猜
与其凭经验一项项猜测可能的原因，更高效的做法是直接使用管理后台自带的登录诊断（Sign-in Diagnostic）工具，查看这次失败登录的详细分析。诊断结果直接给出了明确的错误代码和说明：“访问被一条或多条配置为拒绝的访问控制策略阻止”——也就是说，这不是账号凭证的问题，是有一条访问控制策略主动把这次登录挡了下来。
与其对着”登录失败”四个字瞎猜，不如让系统自己告诉你原因
顺着诊断结果，找到具体是哪条策略
打开这次登录事件对应的访问控制策略详情，确认拦截这次登录的是租户的安全基线策略（Security Defaults），策略状态是”已启用”，对这次登录的判定结果是**“直接拒绝”**，而不是要求补充验证之类的宽松处理。诊断详情里列出的各项条件（设备平台、登录位置、客户端应用等）全部显示”未配置”——说明拦截依据不是某个具体的风险条件，而是策略本身针对这个账号状态的整体判定。
安全基线策略的核心要求之一是所有账号都必须完成多重验证注册，并给一个宽限期。结合这个账号此前一直没有完成多重验证设备注册的情况，可以确认：这次登录被拒绝的根本原因，是账号超出了多重验证注册的宽限期，而不是账号本身的凭证出了问题。
修复
引导该用户完成多重验证的设备注册流程（绑定验证器 App 或电话验证方式），注册完成后，账号重新满足安全基线策略的要求，登录恢复正常。
教训
- “账号密码正确”和”能不能登录”是两件不完全相关的事——现代身份系统在验证凭证正确性之后，往往还会叠加一层策略判断（是否完成多重验证、设备是否受信任等），凭证正确只是登录成功的必要条件，不是充分条件；
- 遇到登录类问题，先用系统自带的诊断工具，而不是凭经验排查——本例的诊断工具直接给出了错误代码和明确说明，省去了大量”会不会是密码问题""会不会是账号被锁”这类逐项排除的时间；
- 安全基线类策略的”直接拒绝”，看起来像是故障，其实是策略在正常履行职责——这类问题的修复方向不是”绕过策略”，而是”让账号满足策略要求”（本例是补上多重验证注册），排查时明确这一点能避免走弯路去找一个本不存在的”故障”。