飞连
飞连
- 文档首页
飞连管理员指南身份账号配置配置多因素认证
复制全文
下载 pdf
文档反馈
问问助手什么是多因素认证
多因素认证（Multi-Factor Authentication，MFA）通过组合不同的身份验证因素确认用户身份。例如，除账号密码外，还要求员工输入发送到本人手机的验证码，降低账号密码泄露后被他人冒用的风险。
在飞连中，管理员可以为员工登录飞连、连接 VPN、连接代理和获取入网凭证等操作开启二次认证，支持分别指定认证方式。员工完成相应验证后，才能继续操作。
支持的认证方式
飞连多因素认证支持以下四种认证方式。您可以根据企业已配置的服务和员工使用习惯选择。
登录管理后台，选择 身份 > 账号配置 > 多因素认证。在 认证方式 区域，单击 示例 可查看验证界面，展开 生效场景说明 可查看各方式的适用范围。
| 认证方式 | 验证过程 | 使用前提 |
|---|---|---|
| 动态口令 | 员工输入飞连或企业自定义动态口令服务生成的口令。 | 默认使用飞连内置服务；也可以接入企业自定义动态口令服务。 |
| 短信验证码 | 员工输入发送至本人手机号的验证码。 | 企业已配置短信服务，员工账号已填写可用的手机号。 |
| 邮箱验证码 | 员工输入发送至本人邮箱的验证码。 | 企业已配置邮件服务，员工账号已填写可用的邮箱。 |
| 推送认证 | 推送认证用于在移动端确认桌面端连接 VPN 或开启代理的请求。移动端自身连接 VPN 时，使用短信验证码或邮箱验证码。 | 员工能够在手机端接收并处理飞连推送认证。 |
配置前准备
开启二次认证前，请确认员工账号信息和客户端版本满足以下要求。
- 使用短信或邮箱验证码时，请确认员工账号中的手机号或邮箱可用。建议同时准备另一种认证方式，便于员工无法使用主选方式时切换。
- 为移动端启用 VPN 二次认证前，请确认员工客户端版本满足要求（最低版本待确认）。
步骤一：配置认证服务
本步骤用于准备身份验证所需的认证服务，例如通过短信或邮件网关发送验证码，或使用动态口令服务校验口令。请根据计划采用的认证方式完成相应配置。
登录管理后台，选择 身份 > 账号配置 > 多因素认证，在 认证方式 区域查看并配置需要使用的认证服务。已配置的服务无需重复配置；使用默认的飞连内置动态口令时，可直接进入下一步。
配置短信服务
- 在 认证方式 区域查看 短信验证码 卡片，确认短信服务是否可用。
- 如需配置短信网关，选择 系统设置 > 系统配置，在 通知 页签的 短信配置 中完成配置，然后返回 多因素认证 页面。
具体操作见管理短信配置。
配置邮件服务
在 邮箱验证码 卡片中单击 配置，进入 邮件配置，配置企业邮件网关。具体操作见管理邮件配置。
配置动态口令服务
飞连默认提供内置动态口令服务。需要调整口令生成规则、允许员工绑定第三方验证器，或接入企业自定义动态口令时，再完成本节配置。
在 动态口令 卡片中单击 配置，根据企业使用的服务，选择以下一种配置方式。
- 动态口令：使用飞连内置服务，可设置口令生成规则和第三方验证器绑定策略。
- 自定义动态口令：企业已导入第三方组织架构，并希望使用第三方动态口令时选择。自定义服务用于校验来自对应第三方数据源的员工；其他账号可按下文配置继续使用飞连内置服务。
使用飞连内置动态口令
- 在动态口令认证选择区域，选择动态口令选项卡。
- 在高级策略区域，按照以下说明完成配置，并单击立即生效。
| 字段 | 说明 |
|---|---|
动态口令生成规则 | 选择同一账号在不同移动端设备上是否生成相同的口令：
切换生成规则后，员工移动端设备中的动态口令会按新规则刷新，需要员工重新启动终端设备。 |
| 飞连手机端动态口令展示 | 开启 飞连手机端动态口令展示 后，员工可在手机端查看动态口令；关闭后不再展示。 |
允许绑定第三方口令验证器 | 开启 允许第三方口令验证器绑定 后，员工可登录飞连门户网站，进入 账号安全 > 第三方口令验证器，单击 绑定 完成配置。
同时设置员工绑定第三方口令验证器前，是否需要校验身份：
|
接入自定义动态口令
- 在动态口令认证选择区域，选择自定义动态口令选项卡。
- 按照以下说明完成配置，并单击立即生效。
| 区域 | 说明 |
|---|---|
| 配置说明 | 参考配置说明中的请求示例和响应示例完成参数配置。 |
参数配置 | 在该区域，您可以配置以下参数：
|
连通性检测 | 选择企业数据源中的用户账号测试连通性，确认 HTTP 请求参数正确且可以正常访问公网。 用于测试的账号必须存在于企业数据源中。如果账号在飞连内创建，请先将其同步到企业数据源，再执行检测，否则检测会失败。 |
步骤二：按场景开启二次认证
本步骤用于设置员工在哪些操作中需要完成二次认证，以及使用哪种方式验证身份。您可以分别为登录飞连、连接 VPN、连接代理和获取入网凭证开启认证；配置生效后，员工在相应场景触发认证时，需要通过验证才能继续操作。
在 身份 > 账号配置 > 多因素认证 页签的 认证场景 区域，按需要开启以下场景。各场景独立配置，员工完成登录验证后，连接 VPN 等操作仍按各自的策略判断是否需要认证。
- 主选认证方式：员工触发二次认证时优先使用的方式。
- 备选认证方式：员工可切换使用的其他方式，不能与主选方式重复。
员工登录飞连
开启后，员工登录飞连时需要完成二次认证。支持移动端（iOS、Android）、桌面端（Windows、macOS、Linux）和浏览器，认证方式包括动态口令、短信验证码和邮箱验证码。
- 在 员工登录飞连 场景卡片中，开启二次认证。
- 在弹窗中选择 主选认证方式，并按需要设置 备选认证方式。
- 按需要设置以下选项，保存配置。
配置项 说明 设置白名单 指定登录时不触发二次认证的员工、部门或角色。 开启手动关闭 允许或禁止员工在门户网站自行关闭登录二次认证。
员工连接 VPN
开启后，员工连接 VPN 时需要完成二次认证。桌面端支持 Windows、macOS、Linux，移动端支持 iOS、Android、Harmony。两类终端分别设置开关和认证方式，可选方式如下。
| 终端 | 可选认证方式 |
|---|---|
| 桌面端 | 动态口令、短信验证码、邮箱验证码、推送认证。 |
| 移动端 | 短信验证码、邮箱验证码。 |
配置步骤
- 在 员工连接 VPN 卡片的 认证场景 中，开启 桌面端 或 移动端 开关。
- 在弹窗中选择一种 主选认证方式，按需要设置 备选认证方式，单击 确认。
备选方式不能与主选重复；桌面端可选择其他可用方式，移动端可选择另一种验证码方式，也可以不设置备选。
说明： 移动端未配置短信或邮件服务时，对应认证方式不可选。可单击 去配置 完成服务配置后再选择。 - 单击 连接时效 旁的 编辑，设置认证有效期并保存。
- 如需为另一类终端开启认证，重复步骤 1～2。
已开启认证时，可在 认证方式 中单击对应终端旁的 编辑 修改配置。
生效规则
- 主选与备选： 主选方式优先使用，备选方式供员工切换。员工通过其中一种方式的验证即可。
- 认证频率：连接时效 设置为 每次 时，每次连接都需要认证；设置为指定时长时，认证成功后在有效期内重新连接，无需重复完成该场景的认证。桌面端和移动端共用这一时效设置，但需要分别完成认证。例如，电脑上验证通过后，首次在手机上连接 VPN 时仍需验证。
- 移动端验证码： 触发认证时，系统自动发送主选方式的验证码，员工也可切换到已配置的备选方式。如果主选方式对应的手机号或邮箱缺失，系统会尝试使用可用的备选方式；没有可用方式时，员工无法完成认证和连接 VPN。
移动端配置效果
以主选短信验证码、备选邮箱验证码、连接时效设置为 2 小时为例，未命中要求再次认证的动态控制规则时：
- 员工首次连接 VPN 时，输入短信验证码完成认证后即可连接。
- 认证成功后，2 小时内再次连接 VPN，无需重复认证。
- 员工同时绑定了手机号和邮箱时，可切换为邮箱验证码完成认证；未绑定手机号但已绑定邮箱时，使用邮箱验证码完成认证。
如果将主选方式设为邮箱验证码，员工首次连接时使用邮箱验证码认证，认证成功后同样按设置的连接时效生效。
与动态控制配合使用
需要针对特定员工或风险场景要求 VPN 二次认证时，可配置动态控制规则。
移动端命中要求二次认证的动态控制规则时，使用本页保存的移动端主选和备选方式。即使关闭本页的移动端认证开关，动态控制规则仍可要求认证；如果员工在连接时效内仍频繁收到认证要求，请检查相关规则。
例如，将全员的连接时效设置为 2 小时，并为需要加强验证的员工配置 VPN 连接时执行二次认证后继续操作的动态控制规则，生效效果如下：
- 命中该规则的员工，每次连接 VPN 都需要完成二次认证，认证方式使用本页保存的移动端主选和备选方式。
- 将员工移出该规则的生效范围后，如果未命中其他要求二次认证的规则，则恢复按 2 小时的连接时效认证。
- 管理员可在对应动态控制规则组的处置记录中查看规则的触发和处置情况。
员工连接代理
开启后，员工在桌面端（Windows、macOS、Linux）开启代理模式时需要完成认证。支持动态口令、短信验证码、邮箱验证码和推送认证。
- 在 员工连接代理 场景卡片中，开启二次认证。
- 在弹窗中选择 主选认证方式 和 备选认证方式，保存配置。
- 设置 连接时效，指定认证有效期。
员工获取入网凭证
开启后，员工在桌面端或浏览器查看 Wi-Fi、有线网络密码或一键配置入网凭证时，需要完成认证。支持动态口令、短信验证码和邮箱验证码。
- 在 员工获取入网凭证（Wi-Fi、有线） 场景卡片中，开启二次认证。
- 在弹窗中选择 主选认证方式 和 备选认证方式，保存配置。
- 设置 连接时效，指定获取入网凭证时的认证有效期。