必须由管理员在系统级启用全局mfa策略并禁用纯密码登录路径，即勾选“启用双因子认证”、不勾选“密码”作为独立认证方式，仅启用totp/短信/邮件等第二因子，确保所有用户强制通过“密码+第二因子”登录。
要让服务器堡垒机强制要求所有用户通过多因素认证（MFA）登录管理平台，核心是启用全局MFA策略并关闭纯密码登录路径。这不是仅靠用户侧设置就能实现的，必须由管理员在系统级完成配置，确保“密码+第二因子”成为唯一可行的登录方式。
一、开启全局MFA并禁用单因子登录
在堡垒机管理后台（如JumpServer或阿里云堡垒机），进入【系统设置】→【安全设置】或【认证管理】→【双因子认证】页面：
- 勾选“启用全局MFA认证”或打开“启用双因子认证”开关；
- 关键操作：**不勾选“密码”作为独立认证方式**（部分平台如阿里云堡垒机会明确列出“密码”为可选认证项，若勾选则允许跳过MFA）；
- 只启用一种或多种第二因子，例如：TOTP（手机动态码）、短信、邮件、钉钉或国密USBKEY；
- 保存后，所有本地用户、AD/LDAP同步用户均受此策略约束（RAM用户需在RAM控制台单独配MFA）。
二、确保用户具备第二因子使用条件
全局开启后，若用户缺少必要信息，将无法完成登录。管理员需提前准备：
- 使用短信或钉钉认证：为每个用户准确填写并验证手机号；
- 使用邮件认证：为每个用户配置有效邮箱，并完成邮件服务器测试；
- 使用TOTP（推荐）：无需预配置用户信息，但需引导用户首次登录时扫码绑定（如华为云MFA小程序、飞致云CKEY、Google Authenticator等）；
- 使用国密USBKEY：需先导入SM2个人证书，绑定设备序列号，并确保终端使用国密浏览器访问。
三、验证与兜底机制不可少
强制MFA上线前，务必做两件事避免锁死管理员：
- 先用普通账号测试全流程（输入密码 → 触发二次验证 → 输入验证码/扫码 → 登录成功）；
- 保留一个未启用MFA的应急管理员账号（如sysadmin），或确认堡垒机支持通过后台命令临时关闭MFA；
- 检查登录日志，确认失败记录是否包含“MFA验证失败”，成功记录是否含“TOTP”“SMS”等因子标识。
四、配合其他安全策略加固效果
单纯开MFA还不够，建议同步调整关联策略提升整体防护力：
- 在【安全配置】中设置“密码错误5次锁定15分钟”，防暴力试探MFA码；
- 启用“登录IP白名单”或“地理位置限制”，缩小MFA触发范围；
- 对高权限账号（如admin、audit）额外开启“会话审批”或“操作复核”，形成纵深防御。
