什么是双因素身份验证 (2FA)？

选择与密码结合使用的第二因素时，你有多种选项，每种选项在安全性和便利性上有所不同。

最常见的 2FA 方法
 

• 短信代码是通过短信发送到受信任电话号码的一次性代码。这是最广泛使用的方法之一，但由于存在 SIM 卡交换等风险，安全性较低。
• 推送通知是发送到移动应用（如 Authenticator）的提示。用户点击“批准”或“拒绝”以确认登录尝试。
• 硬件令牌是物理设备，例如用于生成基于时间的一次性代码的密钥卡。这是最早的 2FA 形式之一，现在不太常用。
• 语音呼叫或通过语音呼叫用户并传递验证码的自动化系统通常用作回退或无障碍选项。
• 生物识别因素包括指纹扫描、面部识别和虹膜扫描。随着这些技术的普及，它们正成为流行的第二因素，尤其是在移动设备上。

向无密码身份验证的转变

虽然传统 2FA 依赖于密码加第二因素，但无密码登录正在逐渐发展。这种方法使用强身份验证方法，如生物识别或通行密钥，以完全消除密码需求。即使没有密码，2FA 原则仍然适用：必须提供多种类型的证据来验证你的身份。

实现 2FA 是降低个人帐户和企业帐户风险的实用步骤。它围绕易受攻击的网络、数据库和标识系统添加了一层防御，使攻击者更难获得访问权限，即使凭据被盗。

成功采用 2FA 的最佳做法

为了从 2FA 中获得最大价值并确保出色的用户体验：
 

• 注册多个设备或备份选项。允许用户添加辅助设备或生成备份代码，防止意外锁定。
• 教育用户安全使用。帮助员工识别网络钓鱼尝试，确认受信任的应用和网站，并了解何时以及如何响应 2FA 提示。
• 明智管理受信设备。在不牺牲安全性的前提下，限制在个人或受管理设备上提示用户进行身份验证的频率。
• 提供安全恢复选项。使用备用登录方法或安全存储的备份代码支持帐户恢复，以减少支持开销。

使用 Authenticator 设置和管理 2FA

通过支持推送通知、基于时间的代码和生物识别登录选项，Authenticator 应用可简化个人设备和业务设备的 2FA 体验。用户可以在一个地方管理账户、添加新的登录方法并监控活动。组织可以将 Authenticator 应用与 Microsoft Entra ID 配合使用，以支持可缩放的部署和策略管理。对于使用联合身份验证或单一登录的组织，Microsoft Entra ID 支持与现代协议（如 OpenID Connect (OIDC)）集成，以在云端和本地环境中以一致方式强制执行 2FA。获取分步 MFA 部署指南。

强身份验证内置于你已使用的 Microsoft 工具中，用于登录、保护敏感数据和满足合规性目标。无论是管理个人帐户还是保护企业环境，这些功能都支持跨设备和服务更安全地访问。

个人和专业帐户的安全登录

使用 Authenticator 应用通过推送通知、基于时间的代码和生物识别选项（例如面部识别或指纹）保护身份。轻触即可批准登录，无需密码。该应用还支持非 Microsoft 帐户将所有内容保存在一个位置。

跨组织灵活实施

在企业环境中，通过 Microsoft Entra 实现 MFA 支持多种方法，包括：
 

• 一次性密码。
• 带有批准功能的推送通知。
• 短信和语音呼叫。
• 基于证书的身份验证。
• 使用 Windows Hello 进行生物识别登录。
• 通行密钥。

安全团队可以应用策略，在特定场景下要求 2FA，例如不熟悉的登录、高风险应用或未管理设备。这些策略根据用户上下文调整，不增加不必要的阻力。

对恢复和连续性的支持

为了使每个人都保持连接和安全，Microsoft 服务允许多种登录方法和恢复选项。如果设备丢失或重置，你可以依靠备用代码或其他方法恢复访问，而不会影响安全性。

集成的身份验证功能有助于降低帐户被攻破的风险，简化身份管理，并支持不断发展的访问控制需求。