| 加固项 | 多因素认证 |
|---|---|
| 适用平台 | Linux（PAM + OpenSSH） |
| 风险等级 | 中 |
| 基线 | 特权账号强制 MFA |
服务端接入
服务端接入
apt install -y libpam-google-authenticator
# /etc/pam.d/sshd 增加：
auth required pam_google_authenticator.so nullok
echo 'KbdInteractiveAuthentication yes' >> /etc/ssh/sshd_config # 新版 OpenSSH
systemctl reload sshd用户侧初始化
用户侧初始化
google-authenticator
# 扫码绑定 → 保存紧急备用码 → 关闭多设备复用先给测试账号开通并完整验证，再批量推行：MFA 配错会让全员无法登录（保留 root 控制台）。