开启范围建议
| 对象 | 建议 | 说明 |
|---|---|---|
| 主账号 | 强制开启 | 绑定虚拟 MFA 并保存恢复方式 |
| 高权限子用户 | 强制开启 | 财务、运维、安全管理员 |
| 普通子用户 | 按需 | 涉及生产写操作的账号建议开启 |
MFA 设备丢失需要走身份核验流程恢复，日常应把恢复码/救援方式单独保管。
登录失败排查时先确认时间同步：虚拟 MFA 基于时间戳，手机时间偏差过大会导致验证码始终无效。
在密码之外增加一次动态验证（虚拟 MFA 应用或硬件令牌），显著降低凭证被盗后的登录成功率；高权限账号应全部开启。
| 对象 | 建议 | 说明 |
|---|---|---|
| 主账号 | 强制开启 | 绑定虚拟 MFA 并保存恢复方式 |
| 高权限子用户 | 强制开启 | 财务、运维、安全管理员 |
| 普通子用户 | 按需 | 涉及生产写操作的账号建议开启 |
登录失败排查时先确认时间同步：虚拟 MFA 基于时间戳，手机时间偏差过大会导致验证码始终无效。