组织安全

Capgo 提供全面的安全控制功能，允许组织管理员对所有成员强制执行安全策略。这些功能可帮助您满足合规性要求，保护敏感数据，并维持强大的安全态势。

概览

组织安全设置允许超级管理员配置：

• 强制启用双重身份验证 (2FA) - 要求所有成员启用 2FA
• 密码策略 - 设置密码复杂度要求
• API 密钥安全 - 强制使用安全的 API 密钥并执行过期策略
• SSO（仅限 Enterprise 版） - 为您的域名提供 SAML 2.0 单点登录。适用于 Enterprise 套餐。请参阅 SSO 设置指南.

安全页面分为以下几个清晰的板块：

1. Security 标签页 - 在组织设置侧边栏中管理所有安全设置
2. 强制启用 2FA - 双重身份验证 (2FA) 的开关及状态显示
3. 密码策略 - 为组织成员配置密码复杂度规则
4. API 密钥策略 - API 密钥安全设置及有效期要求
5. API 密钥过期 - 控制 API 密钥是否必须设置有效期

注意

只有拥有 超级管理员 角色的用户才能配置组织安全设置。其他成员可以查看其合规状态，但无法修改策略。

访问安全设置

1. 点击以下项进入组织设置： 设置 在侧边栏中
2. 点击 组织 设置页面顶部的标签页
3. 选择 安全 组织导航栏中的标签页（带有盾牌图标）

强制启用双重身份验证 (2FA)

强制执行 2FA 要求所有组织成员在其账户上启用双重身份验证。这通过同时要求密码和 code 验证，增加了关键的安全层。

强制执行 2FA 会发生什么

• 未启用 2FA 的成员将被 立即拦截 无法访问组织应用
• Web dashboard 和 CLI 均强制执行此要求
• 新成员必须启用 2FA 才能访问组织资源
• 系统会实时追踪哪些成员已启用 2FA

了解 2FA 状态面板

Security 页面展示了一个全面的 成员 2FA 状态 面板，其中显示：

• 成员总数 - 组织中的成员总数
• 已启用 2FA （绿色指示器）- 已成功启用双重身份验证的成员
• 未启用 2FA (橙色警告标识) - 仍需设置 2FA 的成员

当成员未启用 2FA 时，他们会出现在 未启用 2FA 的成员 警告框中。该框显示：

• 每位成员的邮箱地址及其在组织中的角色
• 一套 复制邮箱列表 用于快速复制所有受影响邮箱地址以便进行沟通的按钮

启用 2FA 强制执行

1. 前往 组织设置 > 安全
2. 找到页面顶部的 要求所有成员启用 2FA 部分
3. 请查阅 成员 2FA 状态 面板以查看受影响的成员
4. 如果存在未启用 2FA 的成员，请使用 复制邮箱列表 按钮在启用前通知他们
5. 切换“ 要求所有成员启用 2FA 以启用强制执行
6. 开关将显示 已禁用 或 已启用 状态在右侧

注意

在启用 2FA 强制执行前：

• 请提前通知受影响的成员并分享 2FA 设置指南
• 给他们留出时间在账户中启用 2FA
• 启用强制执行后，未开启 2FA 的成员将立即失去访问权限
• 建议联系“未开启 2FA 的成员”警告框中列出的成员

CLI 2FA 强制执行支持

您也可以通过 CLI 管理 2FA 强制执行：

# Enable 2FA enforcement
npx @capgo/cli organization set YOUR_ORG_ID --enforce-2fa

# Disable 2FA enforcement
npx @capgo/cli organization set YOUR_ORG_ID --no-enforce-2fa

# Check member 2FA status
npx @capgo/cli organization members YOUR_ORG_ID

有关 2FA 强制执行的详细信息，请参阅 2FA 强制执行指南.

密码策略

密码策略允许您为所有组织成员强制执行密码复杂度要求。如果成员的密码不符合策略要求，则必须在访问组织资源前更新密码。

密码策略部分（如概览图中的指示器 3 所示）提供了一个简单的开关，用于在整个组织中强制执行密码要求。

密码策略的工作原理

启用密码策略后：

• 所有组织成员都必须符合密码复杂度要求
• 不符合要求的用户将被锁定，直到他们更新密码为止
• 无论角色如何，该策略适用于所有成员

启用密码策略

1. 前往 组织设置 > 安全
2. 向下滚动以查找 密码策略 部分
3. 阅读描述：“要求组织成员使用符合特定复杂度要求的密码”
4. 切换 强制执行密码策略 开关以启用它
5. 开关描述为：“启用后，所有组织成员必须符合密码要求才能访问该组织”

可选密码要求

设置	描述	范围
最小长度	要求的最小字符数	6-128 个字符
包含大写字母	密码必须包含至少一个大写字母 (A-Z)	开启/关闭
包含数字	密码必须包含至少一个数字 (0-9)	开启/关闭
包含特殊字符	密码必须包含至少一个特殊字符 (!@#$%^&*, 等)	开启/关闭

成员合规性追踪

密码策略启用时，你可以监控合规情况：

• 成员总数: 你组织中的成员数量
• 已合规: 密码符合策略要求的成员
• 未合规: 需要更新密码的成员

未合规成员会连同邮箱地址一起列出。你可以复制邮箱列表，通知他们相关策略和需要修改的密码。

提示

首次启用密码策略时，密码不符合要求的成员在下次登录时会收到修改密码的 prompt。他们不会被立即锁定，但在符合要求之前，其访问权限可能会受到限制。

密码策略最佳实践

• 设定合理的初始要求: 建议设置至少 10-12 个字符，并包含大小写字母和数字，这样既能保证安全性，又不会过于严苛
• 提前沟通变更: 在启用新的密码要求之前，请先通知您的团队
• 预留过渡时间: 给成员留出时间来更新他们的密码
• 考虑使用密码管理器: 建议团队成员使用密码管理器来生成并存储强密码

API 密钥安全

Capgo 为 API 密钥提供两项安全控制：强制使用安全（哈希）的 API 密钥，以及要求设置过期日期。API 密钥策略部分（在概览图中用指示符 4 标出）通过密钥图标标识。

强制使用安全 API 密钥

API 密钥策略部分中的第一个选项是 强制使用安全 API 密钥。启用后，此设置要求您组织中的所有 API 密钥都必须使用安全/哈希格式创建。

哈希后的 API 密钥更安全，因为：

• 实际密钥值绝不会存储在我们的服务器上
• 只有您（以及您的系统）能访问完整密钥
• 即使我们的数据库遭到破坏，您的密钥也无法被利用

开关描述为：“启用后，只有经过加密（hashed）的 API 密钥才能访问此组织。明文 API 密钥将被拒绝。”

注意

现有的旧版（非加密）API 密钥将继续有效，但启用此策略后，成员将无法创建新的非加密密钥。

启用安全 API 密钥

1. 前往 组织设置 > 安全
2. 向下滚动以找到 API 密钥策略 部分（请寻找密钥图标）
3. 找到 强制使用安全 API 密钥 开关
4. 打开开关，启用 API 安全密钥强制策略
5. 现有密钥不受影响；该策略仅适用于新建密钥

API 密钥过期策略

第二个选项（标有指示器 5 ，见概览图）是 要求 API 密钥设置过期时间。你可以要求所有 API 密钥都设置过期日期，从而限制其有效期。

这是一项安全最佳实践，可以：

• 限制密钥泄露后的暴露窗口
• 确保定期进行密钥轮换
• 帮助满足凭据管理的合规要求

开关描述为：“启用后，该组织的所有 API 密钥都必须设置有效期”

配置过期策略

1. 前往 组织设置 > 安全
2. 找到 API 密钥策略 章节
3. 找到 要求 API 密钥设置过期时间 切换（下方“强制执行安全 API 密钥”）
4. 切换开关以启用过期时间要求
5. 启用后，设置 最大过期天数 （1-365 天）
   • 这限制了过期日期可以设置的最远未来时间
   • 示例：设置为 90 天意味着密钥自创建起最多 90 天后过期

注意

启用过期时间要求后：

• 新的 API 密钥必须包含过期日期
• 现有的无过期时间密钥将继续有效
• 建议审计现有密钥，并轮换那些没有过期时间的密钥

推荐的 API 密钥策略

使用场景	安全密钥	过期时间	最大天数
开发	推荐	可选	30-90
CI/CD 流水线	必填	必填	90-180
生产环境	必填	必填	30-90
企业级/合规性	必填	必填	30-60

合规与审计

组织安全功能可帮助您满足各项合规要求：

标准版	相关功能
SOC 2 合规	强制执行 2FA、密码策略及 API 密钥控制
ISO 27001	所有安全功能均有助于证明访问控制能力
HIPAA	强身份验证与访问管理
GDPR	通过访问控制实现数据保护
PCI DSS	多因素身份验证、强密码策略

监控合规状态

Security dashboard 提供以下内容的实时视图：

• 已启用 2FA 的成员数量
• 整个组织的密码策略合规情况
• API 关键安全功能的采用率

使用“Copy email list”功能，可以轻松导出不合规成员的列表，以便进行针对性通知。

故障排除

“访问被拒绝：未满足安全策略”

问题：成员无法访问该组织。

解决方案:

1. 检查是否强制执行 2FA - 成员需要 启用 2FA
2. 检查密码策略是否生效 - 成员需要更新密码
3. 在 Security dashboard 中验证成员的合规状态

无法启用安全功能

问题：安全开关已禁用或无响应。

解决方案:

• 确保您已拥有 超级管理员 组织角色
• 请检查网络连接
• 请尝试刷新页面
• 如果问题仍然存在，请联系支持团队

API 密钥创建失败

问题：无法创建新的 API 密钥。

解决方案:

• 如果强制使用安全密钥，请确保您使用的是安全密钥创建流程
• 如果要求设置有效期，请在允许的范围内设置过期日期
• 检查最大有效期设置

下一步

• 为您的账号设置 2FA
• 了解 2FA 强制执行详情
• 管理 API 密钥
• 组织管理

继续探索组织安全

如果你正在使用 组织安全 来规划安全与合规，请结合 加密 了解 Encryption 的实现细节， 合规性 了解合规部分的实现细节， Capgo 安全扫描器 了解 Capgo Security Scanner 的产品工作流， Capgo 安全 用于 Capgo 安全的产品工作流，以及 Capgo 信任中心 用于 Capgo 信任中心的产品工作流。