多因素驗證
設定驗證器 App 或安全金鑰，包含地端部署的使用方式。
管理員可以要求所有人使用多因素驗證（MFA），包括管理員本人。身分服務會在返回產品前完成驗證挑戰。使用 Google、Microsoft Entra ID 或其他已啟用的提供者登入，也不會免除組織的 MFA 政策。
從登入到安全復原
互動說明 · 強制 MFA 啟用後的行為，不代表目前部署狀態。
產品 · 1 / 4
選擇組織帳號
選擇部署允許的登入方式。提供者是否可用，由管理員的連線與開通政策決定。
登入流程交給 ZITADEL。
選擇驗證方式
| 方式 | 需要什麼 |
|---|---|
| 驗證器 App（TOTP） | 能產生標準時間型一次性密碼的 App。掃描設定 QR code，再輸入六位數驗證碼。驗證碼可離線產生，不需要 Google 或 Microsoft 帳號；裝置時間須正確。 |
| 安全金鑰（WebAuthn） | 相容的 USB 或 NFC 安全金鑰與瀏覽器。依提示插入或感應。受支援的平台驗證器也可能使用 PIN 或生物辨識；可用選項取決於裝置與部署設定。 |
地端部署仍須讓瀏覽器透過可信任的 HTTPS 連線至組織的身分服務；服務可以位於內網。產生 TOTP 驗證碼及使用硬體安全金鑰不需要外部社群提供者。完成註冊後，請維持相同的身分服務網域。
第一次登入
- 選擇「使用組織帳號繼續」，或已啟用的身分提供者。
- 完成主要登入驗證。
- 依提示註冊驗證器 App 或安全金鑰，並完成驗證挑戰；只註冊因素還不代表登入完成。
- 返回產品，開啟「設定 → 帳號安全」。目前 session 的已驗證狀態與可用方式會分開顯示。
可用方式清單描述部署能力，不代表你已註冊的因素。「管理驗證方式」會在另一個分頁開啟身分帳號。註冊與存取由管理員控制。啟用身分提供者或註冊 MFA 不會自動取得組織成員資格或產品權限。
保留復原管道
盡可能註冊備用安全金鑰，並依組織政策保存驗證器備份。遺失因素時，請聯絡管理員完成身分確認與受監督的復原；沒有通用密碼繞過機制。不要分享設定 QR code、因素 seed 或驗證碼。
排除問題
- TOTP 驗證碼被拒絕：確認裝置已開啟自動日期與時間，再等待新的驗證碼；已用於另一次登入的驗證碼可能被拒絕。
- 無法使用安全金鑰：確認瀏覽器支援、身分服務網域正確，以及 HTTPS 憑證可信任。請聯絡管理員，不要略過憑證警告。
- 復原期間無法登入：等管理員確認復原等待時間已過後，再重新開始登入。通常約需一分鐘；時鐘差異可能讓等待時間更長。
- 無法載入帳號安全：重試；身分服務可能暫時無法使用。
- 需要重新登入：產品 MFA session 在八小時後到期；管理員修改政策或執行復原也可能撤銷 session。
參考身分整合與 ZITADEL 自助服務文件。可用功能取決於部署設定；本指南不代表每個已上線環境都已啟用 MFA。