> ## Documentation Index
> Fetch the complete documentation index at: https://docs.alforse.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 双因素认证

> 用身份验证器应用的六位数代码保护登录，可对整个公司强制启用，并在有人丢失设备时恢复访问。

双因素认证要求您每次登录时输入身份验证器应用生成的、基于时间的六位数代码。每个人注册自己的应用；管理员可以要求公司内所有人都必须注册。

## 工作原理

有两件事是分开的，关于双因素的大多数问题都源于这一区分：

| | 范围 | 由谁控制 |
| - | - | - |
| **身份验证器** | 您的用户账户，覆盖您所属的每家公司 | 您自己（注册和移除）；管理员可以重置 |
| **要求** | 一家公司 | 管理员，在**设置 → 系统 → 安全**下 |

一旦您拥有身份验证器，每次登录都会要求输入代码。公司层面的要求只决定*没有*身份验证器的人是否被强制设置。

## 设置您的身份验证器

Alforse screenshot**账户 → 安全：添加身份验证器应用对话框，含二维码、可复制的密钥和六格验证输入框**

在第一个代码通过验证之前，什么都不会生效。

前往**账户 → 安全**并选择\*\*“添加身份验证器应用”\*\*。

用 Google Authenticator、1Password 或 Authy 等 TOTP 应用扫描二维码。如果无法扫描，请点按二维码下方显示的密钥进行复制，并在应用中手动输入。

在六格输入框中输入应用当前的代码，然后选择\*\*“验证”\*\*。只有代码被接受，双因素才会开启；如果在此之前关闭对话框，则不会保存任何内容。

双因素一开启，Alforse 就会向您发送确认邮件。如果您收到了并非自己触发的确认邮件，请立即移除该因素并告知管理员。

### 哪些登录会要求输入代码

* **要求：** 魔法链接、Google、Outlook 和通行密钥登录。
* **不要求：** [单点登录](https://docs.alforse.com/zh/docs/reference/single-sign-on.md)。SSO 会话已经通过了身份提供商的 MFA，因此 Alforse 不会显示自己的代码界面。

### 移除您的身份验证器

在**账户 → 安全**中选择该因素旁边的垃圾桶图标，并输入当前代码。

## 对公司强制启用双因素

打开**设置 → 系统 → 安全**。

开启**双因素认证强制执行**。

接下来会发生：

* 该要求在每个人下一次加载页面时生效。
* 每位在职员工都会收到宣布这一变更的邮件。
* 没有身份验证器的人会看到全屏的**“设置身份验证器应用”**提示。他们要么在此完成同样的二维码加代码设置，要么登出；该提示无法跳过。
* **用户 → 账户**增加一个**双因素**列，显示每个人是**“已启用”**还是**“未设置”**。该列仅在公司要求双因素时显示。

NOTE

**要求按公司，身份验证器按个人**

如果您属于两家公司，而只有其中一家要求双因素，则只有在您位于该公司时才会提示您注册。不过，注册之后，无论您打开哪家公司，每次登录都会要求输入代码。在受控环境中，所有人都必须使用双因素，且开关被锁定为开启；SSO 会话在那里同样可以豁免。

## 恢复丢失的设备

Alforse 不提供打印的备用代码。恢复是管理员的操作，因此每次重置都是经过深思熟虑且可追溯的。

拥有更新用户权限的管理员打开**用户 → 账户**。

在该人员所在行的菜单中，管理员选择\*\*“重置双因素认证”\*\*。

该人员通过普通的魔法链接登录，并注册新设备。

HEADS UP

**重置适用于该人员所属的每家公司**

身份验证器属于账户，而非公司成员身份，因此重置会在所有地方移除它。请至少授予两个人用户管理权限：如果您唯一的管理员丢了手机，就没有自助的方式重新进入。

## 双因素不涵盖的内容

* **机器访问。** [API 密钥](https://docs.alforse.com/zh/docs/building/api-keys.md)和集成永远不会被质询。
* **车间 PIN 操作员。** 操作员在共用终端上输入 PIN 登入，从不会被提示；双因素适用于登录该终端的人。
* **人们能访问的内容。** 双因素确认的是谁在登录。要限制已登录者能打开或更改的内容，请使用[权限](https://docs.alforse.com/zh/docs/reference/permissions.md)。

## 故障排查

| 现象 | 原因 | 解决 |
| - | - | - |
| 刚读取的代码被拒绝。 | 手机时钟有偏差，或用户读取了错误公司的条目。 | 将手机设为网络时间；检查应用条目标签中的公司名称。 |
| 有人卡在设置界面。 | 公司强制使用双因素，而该人没有身份验证器。 | 在该界面完成设置。没有手机时，唯一的其他选择是登出。 |
| **用户 → 账户**中缺少**双因素**列。 | 公司不要求双因素。 | 开启强制执行；该列随即出现。 |
| 管理员无法关闭强制执行。 | 公司处于受控环境。 | 无法关闭；双因素在那里是强制的。 |
| 通行密钥用户被要求输入代码。 | 属预期：通行密钥创建的是普通会话。 | 无需处理；只有 SSO 会话会跳过代码。 |


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.