可能です。マシンがローカルネットワークに接続されていない場合でも、ドメインマシンにログオンするユーザーに対してMFAを要求することができます。

ただし、ユーザーがすでに該当のマシンでのMFAの登録が済んでおり、一度でも認証されたことがあることが前提です。ローカルネットワークに接続されていない状態でMFAの登録を行うことはできませんのでご注意ください。

よくあるご質問の「保護対象のマシンがUserLock と通信できないときはどうなりますか」も合わせてご確認ください。