两步验证
在云部署中，密码后会紧跟身份验证器应用程序生成的代码。本文将介绍如何设置身份验证器、如何使用身份验证器登录、如何获取恢复代码以及管理员如何处理丢失的手机。
任何可以通过互联网访问的部署都无法仅凭密码打开。输入正确的密码后，系统会要求您输入手机上身份验证器应用（例如 Google Authenticator、Microsoft Authenticator、1Password、Authy 或任何其他可以读取二维码的应用）生成的六位数验证码。如果密码被盗或被猜到，则无法打开任何内容。
自 10 月 16 日起，您还可以在“个性化”>“登录方式”下，使用密码、设备的 Windows Hello、Touch ID、Face ID 或指纹，或者在您信任的设备上使用 PIN 码。身份验证器应用和恢复代码仍然有效。请参阅“密码、指纹或面部识别以及 PIN 码”；管理员请参阅“管理员登录方式”，其中“重置登录方式”取代了“重置两步验证”。
| 登录位置 | 请求提供验证码？ |
|---|---|
| 云部署（Google Cloud Run、Kubernetes、Azure 应用服务） | 是的，每次您使用密码登录时都会触发密码。 |
| 在您自己的机器上运行一个使用 Docker 的副本 | 不，那里的代码步骤已关闭。 |
| 通过公司目录进行单点登录 | 不。您的目录会要求进行第二步操作，而 TRANXACT 不会要求进行两次操作。 |
设置——首次登录时
无需事先进行任何操作。首次在云部署环境中使用密码登录时，登录卡会要求您设置两步验证，之后才能打开其他功能。
- 请照常输入您的邮箱和密码。
- 打开手机上的身份验证器应用，添加账号，然后扫描屏幕上的二维码。如果无法扫描，请选择“输入密钥”，然后输入屏幕上显示的密钥。
- 输入应用程序现在显示的六位数代码，然后选择“验证”并开启。
- 保存这十个恢复代码：复制、下载或记下来。他们只会看到一次，以后不会再看到。
- 勾选“我已将这些代码保存到安全的地方”，然后继续。您已登录。
设置过程需要等待十五分钟。如果时间到了，或者您关闭了页面，请重新登录，您将获得一个新的二维码；只有在二维码被接受后，所有功能才会启用。
之后登录
- 请输入您的邮箱地址和密码。
- 打开应用程序，输入其显示的六位 TRANXACT 验证码。验证码每 30 秒更新一次；刚刚更新的验证码仍然有效。
- 选择“验证”。
- 每个优惠码只能使用一次。如果您使用刚刚发布的优惠码被拒绝，请等待下一个优惠码。
- 五次输入错误验证码后，您将被强制返回输入密码页面。错误验证码和错误密码一样，都会导致账户被锁定。
- 验证码输入步骤持续五分钟。之后，请再次输入您的密码。
恢复代码
如果手机不在身边，请在输入代码步骤中选择“使用恢复代码”，然后输入您保存的十个代码之一。每个代码只能使用一次，屏幕会显示剩余代码的数量。您可以在“个性化”→“两步验证”中随时使用当前代码生成新的十个代码；旧代码将失效。
一部新手机
- 打开“个性化”设置，滚动至“两步验证”。
- 选择“转移到新手机”，然后输入旧手机上的代码或恢复代码。
- 用新手机扫描新的二维码，然后输入显示的验证码。旧手机立即停止工作，您将获得十个新的恢复代码。
手机丢失和密码丢失：管理员须知
“平台”→“用户”栏中有“两步验证”列：对于已设置两步验证的用户，列显示“已开启”；对于自开启两步验证后未登录的用户，列显示“下次登录时”。如果用户丢失了手机和恢复密码，请在其所在行选择“重置两步验证”。
- 他们的身份验证器应用程序和恢复代码都停止工作了。
- 他们举办的每一次会议都会立即结束。
- 下次登录时，他们会设置一个新的身份验证器，就像第一次登录时一样。
- 重置操作会记录在审计日志中。任何人都无法查看或设置他人的密钥。
重置账户是用户恢复账户的唯一方法，因此在操作前务必通过电话或当面确认账户是否真的是本人。任何能够说服管理员重置账户的人，一旦知道密码，就能立即获得该账户。
使用假定身份和会计窗口的用户已通过第二步验证登录，因此无需再次输入验证码。计划任务和 API 密钥也一样，无需密码登录。
操作员控制台
多租户环境 (TMA) 的操作员控制台对操作员的工作方式相同：密码后会显示验证码，还有恢复码，以及在操作员屏幕上为其他操作员重置两步验证。如果无人可以登录，请在集群中运行 `npm run operator -- reset-mfa <email>` 命令。