mongodb ops manager v7.0及当前所有公开版本（截至2026年4月）不提供内置totp或短信类双因子认证能力，仅支持saml、ldap绑定认证及针对本地用户的托管式mfa。
Ops Manager 本身不支持原生 TOTP 双因子认证
直接说结论：MongoDB Ops Manager v7.0 及当前所有公开版本（截至2026年4月）**不提供内置的 TOTP 或短信类双因子认证能力**。它只支持单点登录（SAML）、LDAP 绑定认证，以及可选的托管式双重身份验证（仅限 Ops Manager 自身账户，非 LDAP 账户）。这意味着：
• 如果你用的是 LDAP 用户（比如公司统一 AD 账户），LDAP Bind DN 和 LDAP User Search Attribute 验证成功后即登录完成，没有第二步；
• 托管式双重身份验证（MFA）仅适用于 Ops Manager 自建的本地用户（admin 类账户），且必须在 Admin > General > Ops Manager Config > User Authentication 中手动开启；
• 启用托管 MFA 后，所有已启用该功能的本地用户在输入密码后，会被强制要求输入 6 位时效性验证码（来自 Google Authenticator、Microsoft Authenticator 等兼容 TOTP 的 App）；
• LDAP 用户无法被强制叠加这层 TOTP 验证——系统不会在 LDAP 认证流程中插入第二步。
LDAP + 第三方身份验证器只能靠前置代理实现
想让 LDAP 用户也走 TOTP 流程，唯一可行路径是把认证环节前移：不在 Ops Manager 层做，而是在其上游加一层支持 SAML 或 OIDC 的身份提供商（IdP），例如 Okta、Azure AD、Keycloak。典型做法是：
• 关闭 Ops Manager 的 LDAP 直连认证，改用 SAML 单点登录；
• 在 IdP 侧配置 LDAP 作为用户源，并为该连接启用 TOTP（如 Azure AD 的 Conditional Access 策略 + Microsoft Authenticator）；
• 用户访问 Ops Manager 时被重定向到 IdP 登录页，先输 LDAP 凭据，再被要求扫码/输入 TOTP 验证码；
• IdP 验证通过后，以 SAML 断言形式将用户身份（含组信息）传给 Ops Manager；
• 注意：saml.sp.entityID 和 saml.idp.metadataURL 必须与 Ops Manager 的 SAML 配置严格匹配，否则会报 InvalidResponseException 或 Signature validation failed。
为什么不能在 MongoDB Agent 或数据库层补双因子
有人会想：既然 Ops Manager 不行，那能不能让底层 MongoDB 实例自己做 2FA？答案是否定的：
• MongoDB Server（包括 Enterprise 版）**不支持 TOTP、短信或生物识别等第二因素**，只支持基于角色的权限控制（RBAC）和 TLS/SCRAM/Kerberos/LDAP 等单因素认证方式；
• mongod 的 --auth 模式下，即使启用了 LDAP，认证过程仍是“一次绑定成功即放行”，没有回调机制触发二次挑战；
• 尝试用 mongosh 连接时加 --otp 参数会直接报错：unknown option: --otp；
• 第三方工具（如 Compass）同样不提供客户端侧 TOTP 输入界面，它只透传服务器返回的认证结果。
真正能落地的最小成本方案
如果你无法引入外部 IdP，又必须对 LDAP 用户强加 2FA，目前最现实的选择是：
• 继续使用 Ops Manager 的 LDAP 认证作为主通道；
• 在组织策略层面，**强制所有运维人员使用具备屏幕锁定+生物识别的终端设备**，并启用操作系统级全盘加密（BitLocker/FileVault）；
• 对敏感操作（如 db.runCommand({ setFeatureCompatibilityVersion: "7.0" })）启用 Ops Manager 审计日志 + 异常登录告警（需配置 auditLog.destination 到 syslog 或 Kafka）；
• 把真正的双因子压力转移到数据库访问链路下游：比如应用服务连接 MongoDB 时，用 Vault 动态生成短期 SCRAM 凭据，并要求调用方先通过 Vault 的 TOTP 登录；
• 这种拆分式设计意味着：Ops Manager 管理面保持 LDAP 单因，数据面访问由另一套带 2FA 的凭证体系兜底——两者不耦合，但整体安全水位可控。
