workbuddy管理员需启用mfa以防范凭证盗用风险：一、后台直接开启mfa并选验证方式；二、集成azure ad统一策略；三、对高危操作单独增强mfa；四、通过恢复码重置mfa绑定。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您已拥有WorkBuddy AI管理员权限，但尚未为管理操作启用额外安全防护，则存在凭证被盗后直接执行高危操作的风险。以下是为WorkBuddy管理员账户开启MFA多因素身份认证的具体步骤：
一、通过WorkBuddy管理后台启用管理员MFA
该方式直接在WorkBuddy权限中心内配置，适用于独立部署或SaaS版管理员，无需依赖外部身份平台。启用后，所有管理员登录及敏感操作均强制触发二次验证。
1、使用主管理员账号登录WorkBuddy AI管理后台，进入【权限中心】→【安全策略】页面。
2、找到“管理员多因素认证（MFA）”开关，点击右侧滑块将其置为开启状态。
3、在MFA方式列表中，勾选至少一种验证通道：支持企业微信扫码、短信OTP（需预先绑定手机号）或Microsoft Authenticator兼容TOTP令牌。
4、点击【强制生效】按钮，系统将立即要求当前所有已登录的管理员在下次操作前完成首次MFA绑定流程。
二、绑定Microsoft Entra ID（Azure AD）实现统一MFA策略
当WorkBuddy已与企业Azure AD集成时，可复用AD中已配置的条件访问策略与MFA设置，避免策略分散，确保管理员身份验证行为与企业整体安全基线一致。
1、登录Microsoft Entra管理中心，导航至【保护 > 条件访问】→【策略】。
2、点击【新建策略】，命名为“WorkBuddy管理员强制MFA”，在“分配”中选择“用户和组”，仅包含具有WorkBuddy管理员角色的AD安全组。
3、在“云应用或操作”中，添加WorkBuddy AI SaaS应用（通过企业应用目录搜索并选择）。
4、在“访问控制 > 授予”中，选择“授予访问权限”并勾选“需要多重身份验证”，保存策略并设为启用。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
三、配置敏感管理操作级MFA增强验证
并非所有管理行为都需要同等强度验证。此方法针对删除AI模型、导出全量客户数据、修改全局权限矩阵等高危动作单独叠加MFA，兼顾安全性与操作效率。
1、返回WorkBuddy管理后台【权限中心】→【敏感操作策略】。
2、点击【新增规则】，在“操作类型”下拉菜单中选择“删除生产环境AI训练语料库”或“导出全部客户联系人（>1000条）”等具体条目。
3、在“触发条件”中设定阈值（如数据量、字段包含关键词、非工作时间操作等），并启用“强制实时MFA校验”开关。
4、指定该操作必须使用的MFA方式，例如仅允许企业微信扫码+生物识别确认，禁用短信类弱验证通道。
四、重置管理员MFA绑定状态
当管理员设备丢失、验证器应用重装或发生MFA连续失败锁定时，需由其他具备“MFA恢复权限”的超级管理员进行人工干预，避免账户被完全锁定。
1、由另一名已启用MFA且未被锁定的超级管理员登录管理后台，进入【权限中心】→【MFA恢复】。
2、输入待恢复管理员的完整邮箱地址（必须与注册时一致），系统将显示其最近三次MFA失败时间与IP来源。
3、点击【生成一次性恢复码】，该代码仅显示一次且10分钟内有效，需口头或安全渠道交付给目标管理员。
4、目标管理员在登录页点击“无法接收验证码”，粘贴恢复码后即可跳过MFA绑定阶段，进入新设备MFA初始化流程。
