MFA规则配置

概述

MFA规则配置允许管理员根据不同的安全需求和场景灵活配置多因子认证触发条件，无需对所有登录一刀切地要求MFA验证，实现智能化、自适应的安全策略管理。通过合理配置MFA规则，可以在保障安全性和用户体验之间取得平衡。

应用场景

差异化安全策略：对不同重要程度的账号、应用和场景应用不同级别的安全策略

异常登录保护：在检测到异常登录位置、设备或时间时，自动增加安全验证

关键操作保护：对关键业务操作进行额外的身份验证，防止未授权使用

合规要求：满足行业监管对高价值数据和系统访问的多因素验证要求

地理位置访问控制：针对不同地理位置的登录设置不同的安全级别

前提条件

已在平台基础设置中开启 MFA 功能

用户已完成相关验证方式的配置（如动态令牌绑定）

管理员拥有配置平台安全策略的权限

配置步骤

步骤 1：访问 MFA 规则配置页面

登录管理控制台

登录集成平台管理控制台

导航至配置页面

在左侧导航栏选择「参数配置」>「平台设置 > 自适应 MFA 规则配置」

步骤 2：MFA 白名单配置

白名单功能允许指定特定用户、角色或IP地址免除MFA验证，适用于内部系统、测试账号或已知安全环境的访问。

用户白名单：

点击「添加用户」按钮

在弹出的用户选择框中搜索并选择需要加入白名单的用户

被选中的用户登录时将不会触发 MFA 认证

角色白名单：

点击「添加角色」按钮

选择需要加入白名单的角色

该角色下的所有用户登录时将不会触发 MFA 认证

IP白名单：

点击「添加IP」按钮

输入需要加入白名单的 IP 地址或 IP 段（支持 CIDR 格式，如 192.168.1.0/24）

从白名单 IP 登录的用户将不会触发 MFA 认证

步骤 3：基于地理位置的 MFA 配置

根据用户登录的地理位置动态决定是否要求MFA认证，防范跨区域、跨国异常访问风险。

系统提供四种地理位置验证模式：

严格模式：

只允许来自指定地区的登录，其他地区登录必须进行 MFA 验证

点击「添加安全地区」，选择允许无 MFA 登录的国家/地区

适用于业务活动仅限特定区域的企业

中等模式：

来自高风险地区的登录必须进行 MFA 验证

系统预设了高风险地区列表，也可自定义配置

平衡安全性和便利性的常用选择

宽松模式：

仅在检测到跨国登录时要求 MFA 验证

适合主要在一个国家/地区开展业务的企业

自定义模式：

根据企业特定需求自定义地理位置验证规则

可组合配置安全地区和风险地区

支持细粒度的国家、省份、城市级别控制

步骤 4：新设备判定规则

定义系统如何识别新设备登录，并据此触发MFA验证，有效防范设备被盗或账号共享风险。

配置选项包括：

设备识别方式：

浏览器指纹：基于浏览器特征识别设备

设备ID：基于硬件特征识别设备

两者结合：同时使用两种方式，提供更精确的设备识别

MFA 验证触发条件：

开启「新设备登录时触发 MFA 验证」开关

设置设备信息有效期（默认 30 天），超过有效期需重新验证

设备记忆范围：

每用户最多记忆设备数量（默认 5 台）

超出数量时，最早记忆的设备会被移除

步骤 5：非常规工作时间的 MFA

针对非正常工作时间的登录请求增加安全验证，防范利用下班时间进行的未授权访问。

配置步骤：

开启「非常规工作时间 MFA 验证」开关

设置正常工作时间：

工作日：选择一周中的工作日（如周一至周五）

工作时段：设置每天的工作时间范围（如 9:00-18:00）

在非工作时间登录的用户将被要求进行 MFA 验证

MFA 验证方式配置

除了规则配置外，还需要在 MFA 设置页面配置支持的验证方式：

验证方式开关：

短信验证码：通过手机短信接收验证码

邮箱验证码：通过邮箱接收验证码

基于时间的 MFA（TOTP）：使用动态令牌应用生成验证码

基于 Passkey 的 MFA：使用符合 FIDO2 标准的安全密钥（如指纹、面部识别或 USB 安全密钥）进行免密身份验证

验证优先级：

设置当多种验证方式可用时的优先顺序

可选择让用户自行选择验证方式

验证作用范围：

管理控制台 MFA：控制后台管理界面是否需要 MFA 验证

用户服务台 MFA：控制普通用户登录是否需要 MFA 验证

最佳实践

分层安全策略：

为管理员和普通用户设置不同的 MFA 要求

为不同安全级别的应用设置不同的验证策略

白名单合理使用：

仅将可信用户和环境加入白名单

定期审核白名单内容，移除不再需要的例外

地理位置策略优化：

根据企业业务区域设置合适的地理位置策略

考虑员工出差等场景，提供应急措施

新设备策略均衡：

设置合理的设备有效期，过短会导致频繁验证

设备记忆数量要考虑用户使用多设备的实际情况

工作时间策略灵活性：

考虑不同部门的工作时间差异

节假日等特殊时段可能需要临时调整

常见问题

Q：如何处理紧急情况下无法完成 MFA 的用户？

Q：旅行中的员工可能会触发地理位置 MFA，如何处理？

Q：如何平衡安全性和用户体验？

MFA基础配置

MFA规则配置#

概述#

应用场景#

前提条件#

配置步骤#

步骤 1：访问 MFA 规则配置页面#

步骤 2：MFA 白名单配置#

步骤 3：基于地理位置的 MFA 配置#

步骤 4：新设备判定规则#

步骤 5：非常规工作时间的 MFA#

MFA 验证方式配置#

最佳实践#

常见问题#