启用双重验证（2FA）¶
Authany 支持双重验证（2FA）或多因素验证（MFA），为您的应用提供额外的安全保障。
启用 MFA 后，Authany 会要求用户在登录时提供两种或以上的验证因素。这些因素可以是密码，加上发送到用户注册邮箱或手机号码的一次性密码（OTP）。这样一来，攻击者即使获取了用户密码，也无法单独凭此登录其账号。
本文将介绍如何为您的 Authany 项目启用 MFA 或 2FA，以及如何配置 2FA 宽限期。
前提条件¶
1. 如何启用 2FA¶
步骤 1：打开 2FA 设置页面¶
您可以在 Authany 管理台的双重验证页面中启用 2FA 并配置其他设置。
要打开双重验证页面，请登录 Authany 管理台，选择您的项目，然后进入身份验证 > 2FA。
步骤 2：选择 2FA 要求策略¶
接下来，使用双重验证页面上的 2FA Requirements 下拉菜单，设置何时要求用户使用双重验证登录。
可选项包括：
- 禁用：选择此项后，任何用户登录时都不需要 2FA，即使该用户已经为账号设置了 2FA。
- 可选：此策略仅要求已经为账号设置 2FA 的用户在登录时使用 2FA。尚未设置 2FA 的用户可以继续无需 2FA 登录。
- 强制：使用强制策略可要求所有用户都必须使用 2FA。也就是说，如果未设置宽限期，尚未设置 2FA 的用户将无法登录。使用此选项时，请考虑采取进一步措施，例如设置推行用的宽限期。
如果您希望仅在用户首次从某设备登录时要求使用 2FA，请打开「在此设备上不再询问」2FA 开关。
步骤 3：添加可用的双重验证方式¶
双重验证页面中的可用双重验证方式子部分列出了受支持的第二验证因素方式，包括：
- Google Authenticator/Authy
- 附加密码
- 通过邮箱发送的 OTP 验证码/登录链接
- 通过手机发送的 OTP 验证码
勾选您希望为项目启用的每种 2FA 方式对应的复选框。
使用每种方式右侧的上移和下移箭头调整 2FA 方式的优先级顺序。
完成后，点击双重验证页面左上角的保存按钮以保留新设置。
2. 强制 2FA 中的宽限期¶
2FA 宽限期功能会给用户一段时间来为账号设置 2FA，这在强制执行 2FA 时非常有用。
您可以为 Authany 项目设置以下两种类型的 2FA 宽限期：
全局宽限期：启用此类型的宽限期后，所有尚未为账号设置 2FA 的用户，将在下次登录时被要求设置 2FA。当全局宽限期被禁用时，尚未设置 2FA 的用户将无法登录，而是会收到一条错误消息，要求他们联系管理员。
个人宽限期：这是一种针对单个用户设置的宽限期，会给用户 10 天时间为账号设置 2FA。当全局宽限期被禁用时，这种方式非常适合让个别用户设置 2FA。
如何推行强制 2FA¶
以下步骤展示了如何借助宽限期推行强制 2FA：
- 将 2FA 要求策略改为强制
- 启用全局宽限期，使所有尚未设置 2FA 的用户在下次登录时都必须完成设置
- 通过您自己的渠道，将您决定的全局宽限期时长通知用户
- 在您通知用户的日期过后，禁用全局宽限期。此后，仍未设置 2FA 的用户将无法登录
- 当在全局宽限期内未能设置 2FA 的用户联系您（管理员）时，请按照步骤 2中的说明，为他们启用个人宽限期
步骤 1：启用全局宽限期¶
要启用全局宽限期，请在 Authany 管理台中进入身份验证 > 2FA，然后将 2FA Requirements 设置为强制，即可看到启用全局宽限期开关。
打开启用全局宽限期开关后，未设置 2FA 的用户将在下次登录时被要求设置 2FA。如果您不希望未设置 2FA 的用户在未联系管理员的情况下登录，或不希望他们无需联系管理员即可设置 2FA，则关闭启用全局宽限期开关。
步骤 2：启用个人宽限期¶
当您将项目的 2FA 要求设置为强制，且全局宽限期已关闭时，您仍然可以使用个人宽限期，为特定用户提供设置 2FA 的宽限期。
要设置个人宽限期，请在 Authany 管理台中进入用户管理 > 用户，然后在项目的用户列表中点击对应用户 ID 所在的行，选择要设置个人宽限期的用户。
在所选用户的详情页面中，点击账号安全标签页，然后点击授予设置 2FA 的宽限期按钮。您会看到一个确认操作的提示，点击确认继续。
个人宽限期的时长为 10 天，不过您可以在用户详情页面中延长或取消该宽限期。