雙因素認證

這一頁解決什麼

在密碼之外加一道一次性驗證碼。使用者可以自己啟用，管理員也可以用政策要求全員或管理員必須啟用。 強制註冊的人在密碼通過之後直接走綁定流程，綁完就進系統，不必重登。

需要什麼

一支支援 TOTP 的驗證器應用程式。

怎麼設定

使用者自助啟用

在「個人資料」頁的兩步驟驗證卡片：

1. 按「產生金鑰」。
2. 用驗證器掃 QR code。QR code 在瀏覽器本地產生。不能掃描時，頁面另外提供金鑰字串與 otpauth 網址可以手動輸入。
3. 輸入驗證器顯示的 6 位數驗證碼，按「啟用 MFA」。

自助停用需要輸入目前的密碼。

政策強制註冊

在「安全政策」頁把「雙因素認證強制範圍」從關閉改成僅管理員或全部使用者，出廠值是關閉。 受強制但還沒註冊的人，密碼通過之後會在登入頁看到綁定步驟：掃碼、輸入驗證碼、完成綁定並登入。 綁定用的臨時憑證有效 15 分鐘，只能用於綁定，不能拿去存取其他 API，也不能用來建立連線。

登入時的驗證

已啟用的帳號，密碼通過之後進入驗證碼步驟。這個階段的臨時憑證有效 5 分鐘，只能用於驗證。 一組驗證碼用過就不能再用，重放會被擋下。驗證碼輸錯與密碼輸錯共用同一個鎖定計數。

管理員救援

使用者換了手機又沒有恢復碼時，管理員在「使用者管理」對該帳號停用雙因素認證， 使用者即可重新綁定。這個動作帶管理員身分留紀錄。

稽核看得到什麼

• 綁定啟用、自助停用、管理員救援停用各留一筆紀錄，救援那筆帶操作的管理員身分。
• 驗證碼驗證失敗留紀錄。
• 驗證碼重放被拒留紀錄。
• 已經註冊的帳號拿綁定用憑證想改綁時被拒，也留紀錄。