多因素认证是什么
多因素认证（MFA）在密码之外再要求一次动态验证，通常来自虚拟认证应用生成的六位动态码或硬件令牌。它的价值在于把“知道密码”变成“知道密码且持有设备”：即使密码通过钓鱼、撞库或日志泄漏被拿到，攻击者仍缺少第二因素。对云账号来说，这是成本最低、收益最直接的一道防线。
基本信息
| 常见形式 | 虚拟认证应用、硬件令牌、短信（安全性最低，仅作兜底） |
|---|---|
| 绑定对象 | 主账号、子账号、以及后续登录会话 |
| 登录影响 | 登录时需输入动态码，部分高危操作也可强制二次验证 |
| 时间依赖 | 基于时间戳生成，设备时间偏差过大会导致验证码无效 |
| 恢复方式 | 备用验证码或身份核验流程，需提前准备并单独保管 |
| 策略联动 | 可在权限策略中以是否使用 MFA 作为授权条件 |
开启范围建议
| 对象 | 建议 | 说明 |
|---|---|---|
| 主账号 | 强制开启 | 绑定虚拟多因素认证并保存恢复方式 |
| 高权限子账号 | 强制开启 | 财务、运维、安全管理员 |
| 普通子账号 | 按需 | 涉及生产写操作的账号建议开启 |
| 程序访问密钥 | 不适用 | 密钥无法做二次验证，应改用角色与临时凭证 |
| 第三方协作账号 | 限时开启 | 项目结束立即禁用并解绑 |
典型使用场景
- 主账号登录加固：账号找回通道与最高权限都绑定在它身上，必须开启
- 高危操作二次验证：删除资源、修改账号安全设置前要求动态码
- 策略条件授权：把敏感操作限定为“已通过多因素认证的会话”才能执行
- 安全基线核查：定期导出账号列表，确认所有高权限身份都已绑定
多因素认证设备丢失需要走身份核验流程恢复，冷启动时间可能长达数天。日常应把恢复码或救援方式单独保管，并且不要与认证设备放在同一部手机或同一台电脑上。
登录时验证码始终无效，先检查时间同步：虚拟认证应用按时间窗口生成动态码，手机或电脑时间偏差过大就会一直对不上。其次确认绑定的是同一个账号，多账号共用一部手机时容易点错条目。