ตั้งค่าและใช้การยืนยันตัวตนสองปัจจัย
การยืนยันตัวตนสองปัจจัย (2FA) เพิ่มการตรวจรหัสใช้ครั้งเดียวในการลงชื่อเข้าใช้ หลังตรวจบัญชีและรหัสผ่าน ผู้ใช้ต้องป้อนรหัสจากแอปยืนยันตัวตนเมื่อได้รับแจ้ง หากใช้ครั้งแรกและยังไม่ได้ผูก ต้องผูกแอปก่อน บทนี้เน้นการตั้งค่าและลงชื่อเข้าใช้ของผู้ดูแลคอนโซล ส่วนทางเข้าของผู้ใช้อื่น การลงชื่อเข้าใช้ครั้งเดียว และไคลเอนต์ ต้องตรวจสอบขั้นตอนและขอบเขตจริงแยกกันในสภาพแวดล้อมที่ติดตั้ง ไม่ควรสรุปจากสวิตช์คอนโซลว่าทุกทางเข้าได้รับการป้องกัน
รายการควบคุมด้านล่างใช้ชื่อภาษาอังกฤษที่ตรวจสอบจากส่วนติดต่อแล้ว
เตรียมก่อนเปิดใช้งาน
- ใช้บัญชีผู้ดูแลที่มีสิทธิ์ดูและแก้ไขการตั้งค่าแพลตฟอร์ม การผูกแอปในศูนย์ส่วนบุคคลอาจต้องมีสิทธิ์ดังกล่าวด้วย และควรกำหนดผู้รับผิดชอบบัญชีและอุปกรณ์ยืนยันตัวตน การตั้งค่าส่วนกลางมีผลต่อหลายบัญชี จึงต้องแจ้งผู้ได้รับผลกระทบและวางแผนทดสอบแบบควบคุมก่อนเปลี่ยน
- เตรียมอุปกรณ์ที่ได้รับการป้องกันพร้อมแอปสร้างรหัสใช้ครั้งเดียวสำหรับบัญชีทดสอบ และตรวจสอบเวลาอุปกรณ์ให้ถูกต้อง เตรียมช่องทางช่วยเหลือเมื่อใช้อุปกรณ์ยืนยันไม่ได้ตามขั้นตอนความปลอดภัยขององค์กร หากยังไม่ได้ตรวจสอบขั้นตอนกู้คืน อย่าสมมติว่าผู้ใช้กู้คืนเองได้แน่นอน
- ปกป้องรหัส QR สำหรับผูกและรหัสยืนยัน ไม่แชร์ผ่านช่องทางที่ไม่น่าเชื่อถือ และไม่ใส่ภาพ QR ในทิกเก็ต แชต หรือเอกสารสาธารณะ รหัส QR เกี่ยวข้องกับการยืนยันบัญชี ไม่ควรสแกนและผูกแทนผู้อื่น
เปิดข้อกำหนดสองปัจจัยส่วนกลาง
- เปิด Authentication Security ในการตั้งค่าระบบ แล้วหาสวิตช์ Two-Factor Authentication (2FA) หากโหลดการตั้งค่าล้มเหลว ให้แก้ข้อความผิดพลาดก่อน ไม่ควรตัดสินการตั้งค่าจริงจากสถานะที่ยังไม่ได้ยืนยัน
- เปิดสวิตช์และยืนยันในกล่องโต้ตอบ ตรวจสอบข้อความบันทึกสำเร็จและสถานะสวิตช์ แล้วเปิดหน้าใหม่เพื่อตรวจสอบเพิ่มเติมหากจำเป็น การปรากฏกล่องยืนยันหรือเปลี่ยนสวิตช์เพียงอย่างเดียวไม่ได้หมายความว่าบันทึกแล้ว
- ทดสอบแบบควบคุมโดยลงชื่อเข้าใช้อีกครั้งด้วยบัญชีผู้ดูแลทดสอบ หลังตรวจบัญชีและรหัสผ่าน ให้ผูกแอปหรือป้อนรหัสตามที่แจ้ง และตรวจสอบว่าลงชื่อเข้าใช้สำเร็จ การตั้งค่าส่วนกลางยังมีผลต่อบางขั้นตอนลงชื่อเข้าใช้ของผู้ใช้ที่ใช้การยืนยันบัญชีเดียวกัน จึงต้องทดสอบแต่ละทางเข้าที่เกี่ยวข้องก่อนใช้งาน การบันทึกสำเร็จไม่พิสูจน์ว่าทุกเซสชันเดิมออกทันทีหรือทุกช่องทางได้รับการตรวจสอบแล้ว
ผูกครั้งแรกและลงชื่อเข้าใช้ประจำ
- หากการลงชื่อเข้าใช้ของผู้ดูแลแจ้งให้ผูกครั้งแรก ให้ใช้แอปยืนยันบนอุปกรณ์ส่วนตัวที่ได้รับการป้องกันสแกน QR บนหน้า เลือกรหัสใช้ครั้งเดียวของรายการที่ตรงกับบัญชีปัจจุบัน ป้อนและยืนยัน
- หลังผูกและลงชื่อเข้าใช้สำเร็จ ให้เก็บอุปกรณ์อย่างปลอดภัย ครั้งต่อไปเมื่อระบบขอการยืนยัน ให้ใช้รหัสปัจจุบันจากแอปเดียวกัน รหัสเปลี่ยนตามเวลา จึงไม่ควรใช้รหัสหมดอายุซ้ำ
- เมื่อลงชื่อเข้าใช้คอนโซลแล้ว สามารถเปิดศูนย์ส่วนบุคคลและตรวจ Security Authentication ภายใต้ Account Security เมื่อเปิดแล้ว Authenticator App แสดงสถานะการผูกและการทำงาน Add หรือ Rebind ที่มี ก่อนผูกใหม่ควรยืนยันว่าผูกใหม่และลงชื่อเข้าใช้ภายหลังได้ อย่าออกจากเซสชันปัจจุบันโดยไม่มีวิธียืนยันที่ใช้ได้
- แม้สวิตช์ส่วนกลางปิด ผู้ดูแลปัจจุบันยังเปิด Security Authentication แยกในศูนย์ส่วนบุคคลได้ หากยังไม่ผูกให้สแกน QR และป้อนรหัสตามคำแนะนำ หลังเปลี่ยนการตั้งค่าความปลอดภัยบัญชีอาจต้องลงชื่อเข้าใช้ใหม่ ให้ตรวจสอบผลด้วยบัญชีนั้น
Rebind ใช้เพิ่มแอปในอุปกรณ์ใหม่ที่ควบคุมได้ แต่ไม่อาจถือเป็นการเพิกถอนความสามารถยืนยันของอุปกรณ์เก่า เพราะแอปบนเครื่องเก่าอาจยังสร้างรหัสที่ถูกต้องได้ หากอุปกรณ์เก่าสูญหายหรือเสี่ยงรั่วไหล ให้ติดต่อผู้ดูแลทันทีตามกระบวนการเหตุการณ์ความปลอดภัยบัญชีขององค์กร อย่าถือว่าผูกใหม่อย่างเดียวขจัดความเสี่ยงแล้ว
การตั้งค่าบัญชีหลังผูกในศูนย์ส่วนบุคคล: เมื่อเพิ่มหรือผูกใหม่ในศูนย์ส่วนบุคคลเสร็จ ระบบจะเปิดการยืนยันความปลอดภัยของบัญชีปัจจุบันด้วย แม้ข้อกำหนดส่วนกลางเปิดอยู่แล้ว หากปิดสวิตช์ส่วนกลางภายหลัง บัญชีนี้อาจยังต้องใช้รหัสเนื่องจากการตั้งค่าของตน ให้ตรวจสถานะบัญชีตามกระบวนการขององค์กร การผูกครั้งแรกที่แสดงระหว่างลงชื่อเข้าใช้เป็นอีกขั้นตอนหนึ่ง และเพียงอย่างเดียวไม่สามารถใช้สรุปสถานะสวิตช์ระดับบัญชีได้
ปิดและผลกระทบ
ปิดสวิตช์ส่วนกลางใน Authentication Security ยืนยันกล่องโต้ตอบ และตรวจผลบันทึก การปิดข้อกำหนดส่วนกลางลดการป้องกันของขั้นตอนลงชื่อเข้าใช้ที่เกี่ยวข้อง จึงต้องขออนุมัติและประเมินผลกระทบก่อน
การปิดสวิตช์ส่วนกลางไม่ได้หมายความว่าทุกบัญชีไม่ต้องใช้สองปัจจัยอีกต่อไป หากบัญชีเปิดการยืนยันความปลอดภัยของตนเองอยู่ อาจยังต้องใช้รหัส เมื่อต้องใช้ส่วนกลาง จะปิดสวิตช์ส่วนบุคคลแยกไม่ได้ หากต้องปรับให้ผู้ดูแลที่มีสิทธิ์เหมาะสมดำเนินการตามขั้นตอนองค์กร
หลังปิดหรือปรับ ให้ทดสอบการลงชื่อเข้าใช้จริงด้วยบัญชีทดสอบที่ควบคุม อย่าสมมติว่าข้อมูลการผูกถูกลบหรือทุกเซสชันเดิมหมดอายุทันที
ปัญหาที่พบบ่อย
- เปลี่ยนสวิตช์ส่วนกลางไม่ได้: ตรวจสิทธิ์แก้การตั้งค่าแพลตฟอร์ม เครือข่าย และข้อความบันทึก แก้ข้อผิดพลาดการโหลดหรือบันทึก แล้วเปิดหน้าใหม่เพื่อตรวจสถานะ
- สแกนแล้วรหัสไม่ผ่าน: ตรวจว่ารายการแอปตรงกับบัญชีปัจจุบัน ใช้รหัสปัจจุบัน รวมถึงตรวจเวลาอุปกรณ์และเครือข่าย หากล้มเหลวต่อเนื่องให้ทำตามขั้นตอนองค์กรและหลีกเลี่ยงการลองซ้ำมากจนกระตุ้นข้อจำกัดการลงชื่อเข้าใช้
- ขณะเข้าสู่ระบบไม่มี QR หรือผูกไม่สำเร็จ: กลับไปหน้าเข้าสู่ระบบ เริ่มใหม่ และตรวจสอบเครือข่ายกับข้อความ หากยังไม่สำเร็จให้ติดต่อผู้ดูแลหรือฝ่ายสนับสนุนโดยไม่ส่ง QR หรือรหัสยืนยัน
- โหลดหรือผูกไม่สำเร็จในศูนย์ส่วนบุคคลหลังเข้าสู่ระบบ: ตรวจสอบเครือข่ายและสิทธิ์ดูการตั้งค่าแพลตฟอร์มของบัญชี การอ่าน QR ต้องมีสิทธิ์ดูเช่นกัน และการยืนยันการผูกต้องมีสิทธิ์แก้ไขที่เกี่ยวข้อง ให้ผู้ดูแลที่มีสิทธิ์ตรวจสอบตามขั้นอนุมัติและหลักสิทธิ์ขั้นต่ำขององค์กร อย่าขยายสิทธิ์โดยรวมเพื่อแก้ปัญหา ขั้นตอนนี้ต่างจากการผูกครั้งแรกขณะเข้าสู่ระบบ
- เปลี่ยนหรือทำอุปกรณ์หาย: หากยังเข้าได้ ใช้ Rebind ในศูนย์ส่วนบุคคลเพื่อผูกเครื่องใหม่ แล้วทดสอบเข้าด้วยรหัสใหม่ หากเข้าไม่ได้ให้ติดต่อผู้ดูแลที่มีสิทธิ์กู้บัญชี วิธีขึ้นอยู่กับการตั้งค่าขององค์กร ไม่ควรสมมติว่ามีการรีเซ็ตเองหรือรหัสสำรอง การผูกใหม่เพียงอย่างเดียวไม่เพิกถอนเครื่องเก่า
- ปิดส่วนกลางแล้วยังต้องใช้รหัส: ตรวจว่าบัญชีเปิดการยืนยันความปลอดภัยของตนเองหรือไม่ ตัดสินใจคงข้อกำหนดระดับบัญชีตามการอนุมัติขององค์กร อย่าปิดความปลอดภัยบัญชีอื่นโดยพลการเพื่อแก้ปัญหา
วันที่อัปเดต