第二身份验证因素 (MFA)

第二身份验证因素是Premium计划的选配功能，经您申请后由Omniscol团队开通。之后由学校自行选择适用角色以及可用的第二身份验证因素。

启用第二身份验证因素

在 管理 → 设置 的 安全 部分，第二身份验证因素（MFA）所在行的 配置 按钮会打开配置：

• 适用角色——需要验证第二身份验证因素的账户角色：管理员、员工、教师。未选择任何角色时，此功能不启用。学生无需验证第二身份验证因素。
• 可用的第二身份验证因素——账户可以注册的方式：通行密钥、身份验证应用或电子邮件验证码，至少选择一种。
• 记住浏览器——在验证第二身份验证因素时，可选择在您设定的天数内不再于此浏览器上询问，天数范围为1至90天。密码仍然需要输入。

按钮旁的标签会显示此功能是否已启用，以及适用于哪些角色。

保存此设置后，所选角色的账户若是在没有第二身份验证因素的情况下登录的，其会话将在下一次操作时中断：用户需要重新登录，并注册自己的。此前已授权的应用，例如通过MCP连接的助手，需要重新授权。

登录时

输入密码后，所选角色的账户会进入第二步。

首次登录：注册第二身份验证因素

首次登录时，账户需要在学校接受的方式中注册一种第二身份验证因素：

• 通行密钥——创建通行密钥按钮会在设备上注册一个通行密钥；之后每次登录都通过设备的指纹、面容或锁屏密码来确认；
• 身份验证应用——用户用手机上的身份验证应用扫描二维码，然后输入应用显示的六位数验证码；
• 电子邮件验证码——通过电子邮件接收验证码按钮会向账户的电子邮件地址发送一个六位数验证码，有效期十分钟。没有电子邮件地址的账户无法选择这种方式。

每个账户只注册一种第二身份验证因素；即使学校之后不再接受这种类型，账户仍保留已注册的方式。

管理员还会收到十个备用码，只显示一次。设备丢失时，每个备用码可代替第二身份验证因素完成一次登录：请妥善保存。

之后的登录

之后每次登录都会要求验证已注册的第二身份验证因素：通行密钥、应用的验证码，或系统自动发送的电子邮件验证码。管理员也可以输入备用码。

如果学校允许，会出现一个复选框，勾选后，在设定的天数内此浏览器不再询问。换用其他浏览器时仍会询问，重置之后的首次登录也是如此。

使用SSO时

通过身份提供方登录之后（OIDC / SSO），登录页面上会显示同样的步骤：第二身份验证因素是在SSO之上额外增加的一层验证。

重置第二身份验证因素

账户丢失了第二身份验证因素——例如更换了手机、删除了通行密钥——重置之后即可注册新的：

• 重置单个账户：在该角色列表中，展开该账户所在行，点击 密码 旁边的 重置第二身份验证因素 按钮，列表为 管理员、教师或员工；
• 重置所有账户：在第二身份验证因素配置的底部点击 重置所有账户的第二验证因素。

重置所有账户，以及重置管理员账户，都需要您确认自己的身份。账户会在下次登录时注册新的第二身份验证因素，已记住的浏览器也会被清除。账户已打开的会话不受影响：如需中断，请停用该账户。

丢失第二身份验证因素的管理员可以使用备用码登录，也可以由另一位管理员为其重置。最后一位管理员的第二身份验证因素，可由Omniscol支持团队重置。

须知

• 电子邮件验证码是最薄弱的第二身份验证因素：重置密码也要经过同一个邮箱。如需更强的保护，请只接受通行密钥和身份验证应用。
• 通行密钥与创建它时所用的学校网址绑定：换到其他网址就无法使用。