Cấu hình và sử dụng xác thực hai yếu tố

Xác thực hai yếu tố (2FA) bổ sung bước kiểm tra mã dùng một lần khi đăng nhập. Sau khi xác minh tài khoản và mật khẩu, người dùng nhập mã do ứng dụng xác thực tạo theo yêu cầu. Nếu chưa liên kết trong lần đầu sử dụng, cần liên kết ứng dụng trước. Chương này chủ yếu mô tả cấu hình và đăng nhập của quản trị viên bảng điều khiển. Các điểm truy cập người dùng khác, đăng nhập một lần và ứng dụng khách cần được xác minh riêng về quy trình và phạm vi trong môi trường triển khai; không suy ra mọi điểm truy cập được bảo vệ chỉ từ công tắc trên bảng điều khiển.

Các thao tác dưới đây dùng tên tiếng Anh đã được kiểm tra trên giao diện.

Chuẩn bị trước khi bật

1. Dùng tài khoản quản trị có quyền xem và sửa cài đặt nền tảng; việc liên kết ứng dụng trong trung tâm cá nhân cũng có thể cần quyền tương ứng. Xác định người chịu trách nhiệm quản lý tài khoản và thiết bị xác thực. Cài đặt toàn cục ảnh hưởng nhiều tài khoản, vì vậy hãy thông báo cho người bị ảnh hưởng và lập kế hoạch kiểm thử có kiểm soát trước khi thay đổi.
2. Chuẩn bị thiết bị được bảo vệ có ứng dụng tạo mã dùng một lần cho tài khoản thử nghiệm và kiểm tra giờ thiết bị chính xác. Theo quy trình an toàn của tổ chức, chuẩn bị kênh hỗ trợ khi không thể dùng thiết bị xác thực. Không giả định người dùng chắc chắn tự khôi phục được nếu chưa kiểm chứng quy trình.
3. Bảo vệ mã QR liên kết và mã xác minh. Không chia sẻ qua kênh không tin cậy hoặc đưa ảnh QR vào phiếu hỗ trợ, cuộc trò chuyện hay tài liệu công khai. Mã QR liên quan đến xác thực tài khoản; không quét liên kết thay người khác.

Bật yêu cầu hai yếu tố toàn cục

1. Trong cài đặt hệ thống, mở Authentication Security và tìm công tắc Two-Factor Authentication (2FA). Nếu tải cài đặt thất bại, xử lý thông báo trước; không kết luận cấu hình thực tế từ trạng thái hiển thị chưa được xác nhận.
2. Bật công tắc và xác nhận trong hộp thoại. Kiểm tra thông báo lưu thành công và trạng thái công tắc; mở lại trang nếu cần đối chiếu. Chỉ hiện hộp xác nhận hoặc thay đổi công tắc không chứng minh cài đặt đã được lưu.
3. Trong thử nghiệm có kiểm soát, đăng nhập lại bằng tài khoản quản trị thử nghiệm. Sau khi xác minh tài khoản và mật khẩu, liên kết ứng dụng hoặc nhập mã theo yêu cầu và xác nhận đăng nhập hoàn tất. Cài đặt toàn cục cũng ảnh hưởng một số luồng đăng nhập người dùng dùng cùng cơ chế xác thực tài khoản; kiểm thử từng điểm truy cập liên quan trước khi sử dụng. Lưu thành công không chứng minh mọi phiên hiện tại lập tức đăng xuất hoặc mọi đường truy cập đã được xác minh.

Liên kết lần đầu và đăng nhập thường ngày

1. Nếu đăng nhập quản trị viên yêu cầu liên kết lần đầu, dùng ứng dụng xác thực trên thiết bị cá nhân được bảo vệ quét mã QR trên trang. Nhập và xác nhận mã dùng một lần của mục ứng dụng tương ứng tài khoản hiện tại.
2. Sau khi liên kết và đăng nhập thành công, bảo vệ thiết bị xác thực. Khi các lần đăng nhập sau yêu cầu xác minh, lấy mã hiện tại từ cùng ứng dụng rồi nhập và xác nhận. Mã thay đổi theo thời gian; không dùng lại mã hết hạn.
3. Khi đã đăng nhập bảng điều khiển, mở trung tâm cá nhân và kiểm tra Security Authentication trong Account Security. Khi tính năng bật, Authenticator App hiển thị trạng thái liên kết cùng thao tác Add hoặc Rebind nếu có. Trước khi liên kết lại, xác nhận có thể hoàn tất liên kết mới và đăng nhập sau đó; không đăng xuất phiên hiện tại khi chưa có phương thức xác thực dùng được.
4. Khi công tắc toàn cục tắt, quản trị viên hiện tại vẫn có thể bật riêng Security Authentication trong trung tâm cá nhân. Nếu chưa liên kết, quét QR và nhập mã theo hướng dẫn. Thay đổi bảo mật tài khoản có thể yêu cầu đăng nhập lại; kiểm tra kết quả bằng chính tài khoản đó.

Rebind có thể thêm ứng dụng trên thiết bị mới được kiểm soát nhưng không được coi là thu hồi khả năng xác thực của thiết bị cũ: ứng dụng trên thiết bị cũ vẫn có thể tạo mã hợp lệ. Nếu thiết bị cũ bị mất hoặc có nguy cơ lộ, lập tức liên hệ quản trị viên theo quy trình sự cố bảo mật tài khoản của tổ chức; không coi việc liên kết lại đơn thuần đã loại bỏ rủi ro.

Cài đặt tài khoản sau khi liên kết tại trung tâm cá nhân: Hoàn tất thao tác thêm hoặc liên kết lại tại trung tâm cá nhân cũng bật xác thực bảo mật của chính tài khoản hiện tại, ngay cả khi yêu cầu toàn cục đã bật. Nếu sau đó tắt công tắc toàn cục, tài khoản này vẫn có thể yêu cầu mã do cài đặt riêng; hãy kiểm tra trạng thái tài khoản theo quy trình tổ chức. Liên kết lần đầu được yêu cầu khi đăng nhập là quy trình khác và không đủ để suy ra trạng thái công tắc cấp tài khoản.

Tắt và ảnh hưởng

Tắt công tắc toàn cục trong Authentication Security, xác nhận hộp thoại rồi kiểm tra kết quả lưu. Việc bỏ yêu cầu toàn cục làm giảm bảo vệ của bước đăng nhập liên quan; cần được tổ chức cho phép và đánh giá tác động trước.

Tắt công tắc toàn cục không có nghĩa mọi tài khoản đều không còn yêu cầu hai yếu tố. Nếu bản thân tài khoản vẫn bật xác thực bảo mật, tài khoản đó vẫn có thể cần mã khi đăng nhập. Khi yêu cầu toàn cục bật, không thể tắt riêng công tắc cá nhân; thay đổi cần do quản trị viên có quyền phù hợp xử lý theo quy trình tổ chức.

Sau khi tắt hoặc điều chỉnh, kiểm tra đăng nhập thực tế bằng tài khoản thử nghiệm được kiểm soát. Không giả định dữ liệu liên kết đã bị xóa hay mọi phiên hiện tại lập tức mất hiệu lực.

Câu hỏi thường gặp

• Không đổi được công tắc toàn cục: kiểm tra quyền sửa cài đặt nền tảng, kết nối mạng và thông báo lưu. Xử lý lỗi tải hoặc lưu rồi mở lại trang để xác nhận trạng thái.
• Mã không được chấp nhận sau khi quét: kiểm tra mục ứng dụng đúng tài khoản hiện tại, mã còn hiệu lực, giờ thiết bị và mạng. Nếu liên tục thất bại, làm theo quy trình tổ chức và tránh thử liên tục gây giới hạn bảo vệ đăng nhập.
• Không thấy QR hoặc không liên kết được khi đăng nhập: quay lại trang đăng nhập và bắt đầu lại, kiểm tra mạng cùng thông báo. Nếu vẫn lỗi, liên hệ quản trị viên hoặc hỗ trợ kỹ thuật; không gửi mã QR hay mã xác minh.
• Tải hoặc liên kết thất bại trong trung tâm cá nhân sau khi đăng nhập: kiểm tra mạng và quyền xem cài đặt nền tảng của tài khoản. Đọc mã QR cũng cần quyền xem; xác nhận liên kết cần quyền sửa tương ứng. Đề nghị quản trị viên có thẩm quyền kiểm tra theo quy trình phê duyệt và nguyên tắc quyền tối thiểu, không mở rộng quyền đại trà để xử lý sự cố. Quy trình này khác với liên kết lần đầu khi đăng nhập.
• Thay hoặc mất thiết bị: nếu vẫn đăng nhập được, dùng Rebind trong trung tâm cá nhân để liên kết thiết bị mới rồi kiểm tra đăng nhập bằng mã mới. Nếu không đăng nhập được, liên hệ quản trị viên có quyền khôi phục tài khoản. Cách khôi phục tùy cấu hình tổ chức; không giả định có tự đặt lại hoặc mã dự phòng. Chỉ Rebind không thu hồi thiết bị cũ.
• Tắt toàn cục nhưng vẫn cần mã: kiểm tra xác thực bảo mật riêng của tài khoản. Quyết định giữ yêu cầu cấp tài khoản theo phê duyệt của tổ chức; không tùy tiện tắt bảo mật tài khoản khác để xử lý sự cố.