设置管理员两步验证

开启两步验证后，管理员账户除密码外还需要输入认证应用中的 6 位验证码才能登录。即使密码泄露，没有装有认证应用的设备也无法登录。本文介绍管理员如何为自己的账户设置两步验证、如何处理恢复码，以及如何要求所有管理员启用两步验证。

开始之前

• 两步验证只能在管理员账户上使用，普通用户账户不会显示。
• 需要一部安装了 Google Authenticator、Microsoft Authenticator 等 TOTP 认证应用的手机。
• 设置过程中需要再次输入当前密码。
• 要开启 要求管理员启用两步验证 策略，拥有安全设置权限的管理员必须先为自己的账户设置两步验证。

打开两步验证页面

管理员页面的 /manages/account/mfa 是两步验证页面。可以从以下任一位置打开。

• 管理员页面右上角用户菜单中的 两步验证
• 安全管理 > 安全设置 的 管理员两步验证 卡片中的 打开设置页面
• 在 用户管理 > 用户 中打开自己的账户，选择 我的两步验证设置
• 工作空间账户设置中 两步验证 项目的 设置 或 管理

页面的 认证应用两步验证 面板会以 已开启 或 已关闭 显示当前状态。

设置两步验证

1. 在 认证应用两步验证 面板中选择 设置。
2. 在 确认身份 中输入 当前密码，然后选择 下一步。
3. 用认证应用扫描 添加到认证应用 中显示的二维码。无法扫描时，选择 复制密钥 复制密钥，并手动输入到认证应用中。
4. 输入认证应用中显示的 6 位验证码，然后选择 验证。需要在页面显示的时间内完成验证，超时后要从头重新开始。
5. 页面会显示 10 个 恢复码。通过 复制 或 保存为文件 保存在安全的地方。
6. 勾选 我已将恢复码保存在安全的地方，然后选择 完成。

面板状态变为 已开启，并显示开启日期。从下次登录开始，输入密码后会要求输入验证码。

使用两步验证登录

1. 在登录页面输入 ID 和密码。
2. 在 两步验证 页面输入认证应用中显示的 6 位 验证码，然后选择 验证。
3. 无法使用认证应用时，选择 使用恢复码，输入已保存的 恢复码 之一。用过一次的恢复码不能再次使用。

输入错误的验证码会与输错密码一样计为登录失败。多次输错后，会按照安全设置中的登录保护标准暂时阻止登录。在验证页面停留过久会导致验证超时，需要从头重新登录。

恢复码所剩不多时，两步验证页面会显示提示。请参阅重新生成恢复码。

重新生成恢复码

1. 在两步验证页面的 恢复码 中选择 重新生成。
2. 输入认证应用中的 6 位验证码，然后选择 生成。此时不能使用恢复码。
3. 保存新的 10 个恢复码，然后选择 完成。

重新生成后，之前的所有恢复码都将失效。请用新的恢复码替换已保管的旧恢复码。

关闭两步验证

1. 在 认证应用两步验证 面板中选择 关闭。
2. 输入 当前密码，以及认证应用中的 6 位验证码或一个恢复码，然后选择 关闭。

关闭后仅凭密码即可登录，已保存的恢复码也全部失效。如果 要求管理员启用两步验证 策略已开启，关闭后必须立即重新设置才能使用其他功能。

要求所有管理员启用两步验证

1. 先为自己的账户设置两步验证。未设置时无法开启此策略。
2. 在 安全管理 > 安全设置 中展开 管理员两步验证 卡片。
3. 开启 要求管理员启用两步验证。
4. 选择右上角的 保存 并确认。

开启策略后的行为如下。

默认值为关闭。开启策略后，请提前告知管理员设置方法。

重置其他管理员的两步验证

如果管理员同时丢失了认证应用和恢复码，最高管理员可以重置该账户的两步验证。

1. 在 用户管理 > 用户 中选择该管理员。
2. 在 两步验证 项目中选择 重置两步验证。
3. 核对确认窗口中的内容，然后选择 重置。

重置后，该账户的认证应用设置和恢复码会被删除，正在登录的会话也全部结束。下次登录只验证密码；如果强制策略已开启，登录后需要重新设置。自己的账户不能用此方法重置，请通过关闭两步验证关闭。

所有管理员都被锁定时的恢复

如果没有任何管理员能通过两步验证，可由能够访问服务器的运维人员在终端中重置。与其他用户管理命令一样，需要在停止服务器的状态下执行，并会询问控制台访问密码。

~/setfn-spacebuilder user mfa reset <用户账号>

执行条件和停止服务器的方法请参阅使用命令管理服务器。

注意事项

• 两步验证的启用与关闭、恢复码重新生成、重置其他管理员，都会记录在审计日志的 认证 范围。请参阅查看审计日志。
• 启用或关闭两步验证后，该账户的其他登录会话全部结束；更改密码后，进行中的两步验证登录步骤也会失效。
• 启用或关闭两步验证、重新生成恢复码时，通过登录和同意页面连接的 AI 工具（MCP OAuth 连接）也会断开，请在 AI 工具中重新连接。
• 保护两步验证信息的加密密钥保存在服务器配置文件夹的 secrets/admin-mfa/ 中。备份服务器时请一并备份此文件夹。如果恢复后的服务器没有此密钥，所有管理员的两步验证都会验证失败，需要用命令逐个重置管理员的两步验证后重新设置。
• 重启服务器后，进行中登录的两步验证步骤会消失，需要从头重新登录。

相关文档

• 安全设置
• 查看审计日志
• 设置账户与安全策略
• 使用命令管理服务器