强制启用 2FA

提示

本文将详细介绍 2FA 强制执行机制。如需了解包括密码策略和 API 关键控制在内的所有组织安全功能概览，请参阅 组织安全.

强制执行双重身份验证 (2FA) 允许组织管理员要求所有成员在访问组织资源之前，必须在其账户上启用 2FA。这能为您的应用和数据提供更高水平的安全保障。

概览

当组织启用了 2FA 强制执行时：

• 所有成员必须在其 Capgo 账户上启用 2FA
• 未启用 2FA 的成员将被拒绝访问该组织的 App
• Web dashboard 和 CLI 都会强制执行此要求
• 新成员必须启用 2FA 才能访问组织资源

提示

强制执行 2FA 对以下场景尤为重要：

• 具有严格安全策略的企业级组织
• 处理敏感用户数据的团队
• 受监管行业中的组织（医疗、金融等）
• 需要符合 SOC 2 或 ISO 27001 标准的公司

工作原理

Web Dashboard

当你尝试访问需要 2FA 的组织，但尚未启用 2FA 时：

1. 你会看到“拒绝访问”的消息
2. 系统会引导你前往账户设置中启用 2FA
3. 启用后，你即可正常访问该组织

CLI 访问权限

当使用 Capgo CLI 与需要 2FA 的组织中的应用交互时：

🔐 Access Denied: Two-Factor Authentication Required
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

This organization requires all members to have 2FA enabled.

To regain access:
  1. Go to https://web.capgo.app/settings/account
  2. Enable Two-Factor Authentication on your account
  3. Try your command again

启用 2FA 强制执行

注意

启用 2FA 强制执行前：

• 确保您已为自己的账号启用 2FA
• 通知所有组织成员启用 2FA
• 未启用 2FA 的成员将立即失去访问权限

通过 Web Dashboard

1. 前往您的组织设置
2. 前往 安全 部分
3. 切换 要求所有成员启用 2FA
4. 确认操作

通过 CLI

您可以通过以下 Capgo CLI 启用 2FA 强制执行：

# Enable 2FA enforcement for an organization
npx @capgo/cli organization set YOUR_ORG_ID --enforce-2fa

# Disable 2FA enforcement
npx @capgo/cli organization set YOUR_ORG_ID --no-enforce-2fa

通过 CLI 启用时，您将看到：

• 哪些成员尚未启用 2FA
• 如果您本人未启用 2FA，将显示警告
• 应用更改前的确认 prompt

正在检查成员 2FA 状态

通过 CLI

你可以列出所有组织成员及其 2FA 状态：

npx @capgo/cli organization members YOUR_ORG_ID

这将显示：

• 成员邮箱与角色
• 是否已启用 2FA
• 需要启用 2FA 的成员数量摘要

通过 Web Dashboard

在组织设置中，你可以查看每个成员是否已启用 2FA。

为您的账号设置 2FA

如果您需要为账号启用 2FA，请参阅我们的 双重身份验证 (2FA) 设置指南.

最佳实践

启用强制执行前

• 提前进行沟通: 在启用强制执行前，至少提前一周通知团队成员
• 提供支持: 分享 2FA 设置指南 与您的团队
• 检查准备情况：使用 npx @capgo/cli organization members 查看哪些成员仍需启用 2FA

启用强制执行后

• 监控访问问题: 随时准备协助被锁定的成员
• 保存备份代码: 提醒成员保存其 2FA 备份代码
• 定期检查: 定期检查所有成员是否都开启了 2FA

针对 CI/CD Pipelines

• 使用 API 密钥: CI/CD 系统应使用 API 密钥，而非用户账号
• API 密钥所有者: 确保创建 CI/CD API 密钥的用户已启用 2FA
• 轮换密钥: 定期轮换自动化系统中使用的 API 密钥

故障排除

“访问被拒绝：需要进行双重身份验证”

问题：在尝试访问组织时出现此错误。

解决方案:

1. 前往 账号设置
2. 为您的账号启用 2FA
3. 重试访问该组织

“无法启用 2FA 强制执行”

问题：您无法为您的组织启用 2FA 强制执行。

解决方案:

• 请确保您拥有 super_admin 组织内的权限
• 请先为您的个人账号启用 2FA
• 如果问题仍然存在，请联系支持团队

CLI 命令失败

问题：CLI 命令因 2FA 相关错误而失败。

解决方案:

• 请验证您的 API key 是否有效： npx @capgo/cli doctor
• 确保 API key 的所有者已启用 2FA
• 如果使用基于登录的身份验证，请重新进行身份验证： npx @capgo/cli login

合规性

强制执行 2FA 可帮助您的组织满足各项合规性要求：

标准版	要求	2FA 的作用
SOC 2 合规	访问控制	确保所有用户都经过强身份验证
ISO 27001	信息安全	增加一层身份验证
HIPAA	访问管理	防止未授权访问
GDPR	数据保护	降低账号被盗风险
PCI DSS	身份验证控制	符合多因素身份验证要求

下一步

• 为您的账号设置 2FA
• 了解组织管理
• 为 CI/CD 配置 API 密钥

继续完成 2FA 强制执行

如果你正在使用 强制启用 2FA 来规划安全与合规，请结合 加密 了解 Encryption 的实现细节， 合规性 了解合规部分的实现细节， Capgo 安全扫描器 了解 Capgo Security Scanner 的产品工作流， Capgo 安全 用于 Capgo 安全的产品工作流，以及 Capgo 信任中心 用于 Capgo 信任中心的产品工作流。