結論
ADユーザーの姓と名はしっかり記入しましょう。
問題
Azure AD で新規作成したユーザーがAWS Single Sign-On（以降AWS SSO）で認証されない事象が発生。
４ヶ月前に（ほぼ）同じ手順で作成したユーザーは同現象の確認はされず。
※姓名の入力有無という違いが発生しているのですが、問題発生時の私は違いを認識していません
AWS SSOができないユーザーではこのように「無効なMFA認証情報」という表示がされます。
エラーの原因
結論にも書きましたが、ADユーザーの姓と名の入力が欠如していたことが原因でした。
ADユーザー作成時、名前は必須項目ですが姓と名は未記入でも問題ありません。
一方、AWS側の情報では姓と名の項目が必要です。
したがってADユーザーの情報をもとにAWSのログインユーザーを作成できないため、AWS SSOに失敗していたのでした。
私のケースでは、短期間の研修用にユーザーを作成したので姓と名の記入について横着をしました。
一般的に本格運用しているADではあまり起きない事象かもしれませんが、それ故に本エラーに対する対処法がなかなか発見できなかったため苦労しました。
エラーの原因確認
ここからはエラーコードチェックの手順について、忘備録もかねて記載します。
ユーザーに表示されるエラーメッセージからADのMFA周りを確認したあなた（と私）！
それは盛大なミスリードです。
２１年２月４日現在、Azure ADにはプロビジョニングログという機能がプレビューされています。
ここでADのユーザー・グループのプロビジョニングについて確認可能です。
今回の件で言うと、AD側ユーザーをもとにAWSにもユーザーが作成されます。
この操作は自動で行われますが、失敗しても対して通知してくれません。（通知設定を変更できたりしたらごめんなさい）
成功、失敗についてはこのプロビジョニングログで確認しましょう。
失敗したログを選択すると、作業ステップの詳細について表示されます。
タブからトラブルシューティングと推奨事項を選択します。
するとエラーコードとエラーメッセージについて、英語で記載があります。
あとはエラーコードで検索かけたりしましょう。
本件では、エラーメッセージは原因についてはクリティカルな記載をしていませんでした。
参考