Verificação em duas etapas
Em uma implementação na nuvem, uma senha é seguida por um código de um aplicativo autenticador. Este artigo aborda a configuração, o login com o código, os códigos de recuperação e o que um administrador deve fazer em caso de perda do telefone.
Uma instalação que qualquer pessoa na internet pode acessar não é aberta apenas com uma senha. Após inserir a senha correta, você precisa de um código de seis dígitos gerado por um aplicativo autenticador no seu celular — Google Authenticator, Microsoft Authenticator, 1Password, Authy ou qualquer outro aplicativo que leia um código QR. Uma senha roubada ou adivinhada não abre nada.
Desde 16 de outubro, você também pode usar uma chave de acesso, o Windows Hello do seu dispositivo, Touch ID, Face ID ou impressão digital, ou um PIN em um dispositivo confiável, em Personalizar › Métodos de entrada. O app autenticador e os códigos de recuperação continuam funcionando. Consulte Chaves de acesso, impressão digital ou reconhecimento facial e um PIN; administradores, consultem Métodos de entrada para administradores, onde Redefinir métodos de entrada substitui Redefinir autenticação em duas etapas.
| Onde você faz login | Foi solicitado um código? |
|---|---|
| Implantação em nuvem (Google Cloud Run, Kubernetes, Azure App Service) | Sim, sempre que você fizer login com uma senha. |
| Uma cópia executada em sua própria máquina com Docker. | Não. A etapa de codificação está desativada ali. |
| Acesso único através do diretório da sua empresa | Não. Seu diretório solicita uma segunda etapa, e o TRANXACT não solicita duas vezes. |
Configuração inicial — o primeiro acesso
Ninguém precisa fazer nada com antecedência. Na primeira vez que você acessar com sua senha em uma implantação na nuvem, o cartão de login solicitará que você configure a verificação em duas etapas antes de desbloquear qualquer outra coisa.
- Insira seu e-mail e senha como de costume.
- Abra o aplicativo autenticador no seu celular, adicione uma conta e escaneie o código QR na tela. Se não conseguir escaneá-lo, escolha "Digite a chave" e insira a chave exibida na tela.
- Digite o código de seis dígitos que o aplicativo exibe e selecione Verificar e ativar.
- Guarde os dez códigos de recuperação: copie-os, faça o download ou anote-os. Eles só verão isso uma vez.
- Marque a opção "Salvei esses códigos em um local seguro" e continue. Você está conectado.
A configuração leva quinze minutos. Se esse tempo acabar, ou se você fechar a página, faça login novamente e você receberá um novo código QR; nada será ativado até que o código seja aceito.
Entrar em seguida
- Insira seu e-mail e senha.
- Abra o aplicativo e digite o código de seis dígitos exibido para TRANXACT. O código muda a cada trinta segundos; um código que acabou de ser alterado ainda é aceito.
- Selecione Verificar.
- Cada código funciona apenas uma vez. Se o código que você acabou de usar for recusado, aguarde o próximo.
- Após cinco códigos incorretos, você será redirecionado para a tela de senha. Códigos incorretos contribuem para o mesmo bloqueio que uma senha incorreta.
- A etapa de codificação dura cinco minutos. Após esse período, digite sua senha novamente.
Códigos de recuperação
Se o seu telefone não estiver à mão, selecione "Usar um código de recuperação" na etapa do código e digite um dos dez códigos que você salvou. Cada código funciona apenas uma vez, e a tela mostra quantos ainda restam. Em Personalizar → Verificação em duas etapas, você pode criar um novo conjunto de dez códigos a qualquer momento com um código atual; o conjunto antigo deixará de funcionar.
Um novo telefone
- Abra a opção Personalizar e role até Verificação em duas etapas.
- Selecione "Mover para um novo telefone" e insira um código do telefone antigo ou um código de recuperação.
- Escaneie o novo código QR com o novo telefone e insira o código exibido. O telefone antigo para de funcionar imediatamente e você recebe dez novos códigos de recuperação.
Celular perdido e códigos perdidos: para administradores
Na seção Plataforma → Usuários, há uma coluna de Duas Etapas: "Ativado" para quem configurou a opção e "No próximo login" para quem não fez login desde que ela foi ativada. Para quem perdeu o telefone e os códigos de recuperação, selecione "Redefinir duas etapas" na linha correspondente.
- O aplicativo de autenticação e os códigos de recuperação pararam de funcionar.
- Todas as sessões que eles realizam terminam imediatamente.
- No próximo login, eles configuraram um novo autenticador, exatamente como da primeira vez.
- A redefinição é registrada no log de auditoria. Ninguém pode ver ou definir a chave de outra pessoa.
A redefinição de senha é a única maneira de recuperar a conta de alguém que foi bloqueado, então verifique se é realmente essa pessoa — por telefone ou pessoalmente — antes de prosseguir. Qualquer pessoa que consiga convencer um administrador a redefinir a senha terá acesso à conta assim que souber a senha.
A identidade assumida e a janela do contador são abertas por alguém que já fez login com sua própria segunda etapa, portanto, não é solicitado um código novamente. O mesmo se aplica a tarefas agendadas e chaves de API, que não exigem senha para login.
O console do operador
O console do operador para um ambiente multi-inquilino (TMA) funciona da mesma forma para todos os operadores: um código após a senha, códigos de recuperação e a opção de redefinição em duas etapas na tela de operadores para outro operador. Quando ninguém conseguir fazer login, execute `npm run operator -- reset-mfa <email>` no cluster.