身份源与登录安全

本专题面向平台管理员与单位（租户）管理员，说明如何把登录交给企业身份源、如何收紧登录安全策略，以及账号丢失验证设备时如何恢复。

1. root 首次登录

安装完成时，安装器在终端打印控制台地址、用户名 root 与初始密码。初始密码只保存在部署主机上，修改之前可在部署主机上再次查看：

sudo zenova root-password show

首次登录流程：

1. 在登录页输入 root 与初始密码。
2. 登录页切换到「修改初始密码」：按页面列出的口令规则设置新密码。
3. 登录页切换到「绑定两步验证」：选择「验证器应用」或「通行密钥」。选择验证器应用时，用手机验证器扫描二维码并输入 6 位验证码，然后保存页面展示的恢复码，点击「我已保存」。
4. 进入平台管理台。

修改初始密码后，zenova root-password show 不再能查看密码，部署主机上的初始密码文件同时删除。

每个步骤都有时限：修改初始密码与绑定两步验证各 10 分钟，输入第二因子 5 分钟。超时后登录页回到首屏并提示「验证已超时，请重新登录」。

2. root 口令或两步验证设备丢失

root 忘记口令，或 root 的验证器与恢复码同时丢失时，只能在部署主机上恢复，管理控制台不提供任何重置 root 的入口：

sudo zenova root-password set

该命令直接连接平台数据库，在同一操作内完成：

• 生成新的 32 位随机初始密码并在终端打印（之后也可用 zenova root-password show 再次查看）；
• 要求 root 下次登录时修改密码；
• 清除 root 的验证器、恢复码、受信任设备与通行密钥；
• 让 root 的全部会话失效；
• 写入审计记录（含执行命令的主机名）。

随后按第 1 节用新密码登录，重新修改密码并绑定两步验证。数据库不可达时命令直接报错退出。

命令默认读取本机安装目录的部署配置；安装目录不在默认位置时，用 --install-dir <目录> 或 --env-file <文件> 指定。

3. 接入企业 OIDC 身份源

入口：管理控制台「单点登录」页 → 选择「IAM」→ 类型选择「OpenID Connect」。

1. 填写「身份源地址（Issuer）」，点击「读取配置」。平台读取身份源的发现文档（/.well-known/openid-configuration），并只读显示识别到的登录地址与令牌地址。读取失败时，字段下方显示原因，例如无法访问该地址，或返回的 Issuer 与填写的不一致。
2. 在身份源中登记页面显示的「回调地址」，然后填写「Client ID」「Client Secret」与「显示名称」。
3. 按需填写：
   • 账号别名声明：身份源令牌中用于匹配平台已有账号的声明名称；
   • 默认工作空间：自动建号的新用户加入的工作空间，单位只有一个工作空间时无需选择；
   • 允许 JIT 自动建号：未在平台中存在的用户首次登录时自动创建账号；
   • 多因子来源：「由本平台补做两步验证」（默认），或「以身份源的多因子认证结果为准」——选择后者时需填写「允许的 acr 值」或「允许的 amr 值」（默认接受 mfa、otp、hwk、swk、fpt、face）。
4. 点击「保存」，再点击「测试登录」，用身份源中的测试账号完成一次登录。
5. 测试登录成功后，身份源状态显示为「已验证」，此时才能「启用」。启用前未完成测试登录时，保存会提示「请先保存并完成测试登录，再启用该身份源」。

修改身份源类型、Issuer、Client ID 或 Client Secret 后，「已验证」状态失效，需要重新测试登录后才能启用。修改默认工作空间、显示名称等其他字段不影响已验证状态。

保存后，页面显示「单位登录地址」（形如 https://平台地址/login?org=单位标识）。请把它分发给员工：打开后直接显示本单位的登录方式。

身份源的签名公钥与发现文档由平台在保存时读取，之后每小时自动刷新；员工登录时不再访问身份源的发现地址。

3.1 允许业务系统用身份源令牌调用模型

在同一页面的「业务系统调用」区块打开开关，并填写「业务系统客户端标识」（至少一项，最多 32 项）。业务系统从身份源取得的用户令牌，其受众必须是其中之一。页面同时显示「业务系统调用地址」，交给业务系统开发者使用。调用方式见「用企业身份调用模型」专题。

3.2 平台级身份源

平台管理员可以为平台账号配置单独的单点登录。入口：平台态「单点登录」页，只提供 OpenID Connect 一种类型，配置步骤与第 3 节相同，区别如下：

• 不自动建号：只有已创建的平台账号可以通过平台单点登录登录；
• 首次登录时，按身份源返回的已验证邮箱与平台账号自动关联；
• 不提供「业务系统调用」与默认工作空间。

保存后页面显示「平台登录地址」。

4. 登录安全策略

入口：「账号安全」页 →「安全策略」。平台态下修改的是平台账号与 root 的策略，单位态下修改的是本单位成员的策略。

打开「安全策略」对话框时，若本次会话的身份验证已超过 10 分钟，会先弹出「验证身份」，按提示输入口令、验证码、使用通行密钥，或通过身份源重新验证。

4.1 登录方式

平台范围的「强制两步验证」与「允许口令登录」固定开启：root 只能用口令登录，平台账号必须使用两步验证。平台账号是否只能单点登录，由该账号的登录方式决定（见第 6 节）。

4.2 开启强制两步验证

1. 打开「强制两步验证」并保存。保存时平台检查：当前管理员本人已绑定两步验证，且本次会话是通过两步验证登录的。否则保存失败并提示「请先为自己绑定两步验证，并以两步验证登录后再开启此项」。
2. 生效后，未绑定的用户下一次登录时，在口令、通行密钥或单点登录通过后进入「绑定两步验证」步骤，可选择验证器应用或通行密钥（通行密钥只在 HTTPS 访问且浏览器支持时出现）。
3. 已登录、但当前会话没有经过两步验证的用户，会在下一次会话续期时被要求重新登录（最长为一个访问令牌的有效时长），登录页提示「单位已启用两步验证，请重新登录并完成绑定」。
4. 成员列表的「两步验证」列显示每个人的绑定状态，便于管理员跟进未绑定人员。

通过单点登录登录的用户：若身份源配置为「以身份源的多因子认证结果为准」且令牌声明了可接受的 acr 或 amr，视为已完成两步验证；否则由本平台补做两步验证。

4.3 关闭口令登录（只允许单点登录）

为防止关闭后所有人都无法进入，保存时平台检查：

生效后：

• 本单位用户输入正确口令时提示「你所在的单位只允许通过单点登录登录」；口令错误时仍统一提示「账号或密码错误」，不暴露账号是否存在；
• 已用口令登录的会话在下一次续期时被要求重新登录；
• 自助注册入口隐藏；
• 口令登录关闭期间，不能停用或删除最后一个已启用的身份源。

4.4 口令策略

口令策略只对之后新设置的口令生效，不追溯已有口令。注册、找回密码、修改密码、管理员重置、激活账号与 root 首次登录改密等所有设置口令的界面，都会在口令框下方列出当前规则；提交后不符合的规则逐条标出。

4.5 登录失败限制

同一来源地址对同一账号在 15 分钟内连续失败 10 次，或同一来源地址在 15 分钟内对任意账号累计失败 100 次后，暂时拒绝该来源的登录尝试。限制只按来源地址计算，不会因为他人的错误尝试把某个账号（包括 root）锁定。口令、第二因子、首次登录改密、激活与单点登录回调共用同一套计数。

5. 为他人重置两步验证

用户丢失验证器且没有恢复码时，由管理员重置：

重置会移除对方的验证器、恢复码、受信任设备与通行密钥，并让其所有会话失效；对方下次登录时按策略重新绑定。操作前需要在 10 分钟内完成过身份验证，否则先弹出「验证身份」。管理员不能在列表中重置自己的两步验证，请在个人设置中管理。

用户本人还持有恢复码时，可在登录的第二因子步骤使用恢复码登录，然后在个人设置「账号安全」中重新绑定。

6. 平台账号与激活链接

平台账号是平台管理员的个人账号，用于「一人一号」的审计与管理；不创建平台账号时，平台由 root 管理。

入口：平台态「成员 › 账号」→「新建账号」，填写姓名、邮箱，并选择登录方式：

• 口令登录：创建后对话框显示一次性激活链接，有效期 24 小时。请把链接发给本人：本人打开后设置口令并绑定两步验证。
• 仅单点登录：只有平台级身份源已启用时可选，否则该选项不可选并显示原因。创建后没有激活链接，本人首次通过平台单点登录登录时按已验证邮箱自动关联。

账号状态分为「待激活」「已激活」「已停用」。激活链接过期后，本人打开会提示链接已失效，请管理员在行操作中「重新生成激活链接」，旧链接随即作废。

其他行操作包括停用、启用、删除、授予或撤销平台管理员。不能停用或删除自己；root 不出现在账号列表中，不可停用或删除。

7. 通讯录定时同步

钉钉、LDAP、飞书与企业微信的「通讯录同步」卡片提供「自动同步」：

1. 打开「开启自动同步」，在「同步周期」中选择 15 分钟、1 小时、6 小时或每天，点击「保存设置」。修改周期或重新开启后，下次同步从保存时刻起算。
2. 卡片显示「最近运行」「下次同步」与「连续失败」次数；未开启时显示「未开启」。
3. 定时同步与手动同步的结果相同：命中大批量删除时同样进入待审批，卡片提示有一次同步等待审批，管理员可批准或拒绝。
4. 同步失败时，卡片显示最近一次失败原因，等待下一个周期再次运行；连续失败不会自动关闭自动同步，管理员可以手动关闭。

通过通讯录同步进入平台的用户，在通过身份源登录一次或由推送完成关联后，即可使用企业身份令牌调用模型（见「用企业身份调用模型」专题）。