วิธีตั้งค่าและบังคับใช้การตรวจสอบสิทธิ์แบบสองขั้นตอน (2FA) ใน Nextcloud

ผู้ใช้ Nextcloud เข้าสู่หน้าล็อกอิน ป้อนรหัสผ่านถูกต้อง แต่ติดปัญหาเนื่องจากเซิร์ฟเวอร์ต้องการการยืนยันตัวตนสองขั้นตอนที่ผู้ใช้ไม่ได้ตั้งค่าไว้ โดยปกติแล้วปัญหานี้จะเกิดขึ้นเมื่อผู้ดูแลระบบเปิดใช้งานการยืนยันตัวตนสองขั้นตอน (2FA) ก่อนที่จะเปิดใช้งานผู้ให้บริการ ทดสอบขั้นตอนการลงทะเบียน และเตรียมผู้ใช้สำหรับการกู้คืน วิธีแก้ไขที่ปลอดภัยกว่าคือการเปิดใช้งานผู้ให้บริการที่รองรับก่อน ทดลองใช้กับกลุ่มเล็กๆ แล้วจึงบังคับใช้ 2FA กับบัญชีที่ต้องการใช้งานจริง

ขั้นตอนด้านล่างนี้เป็นไปตามคู่มือการดูแลระบบและการใช้งาน Nextcloud 35 เวอร์ชันเสถียร ซึ่งจะเผยแพร่ในวันที่ 6 ตุลาคม 2026 อินเทอร์เฟซของ Nextcloud และแอปพลิเคชันผู้ให้บริการที่มีให้ใช้งานอาจแตกต่างกันไปตามรุ่นและการติดตั้งเซิร์ฟเวอร์ ดังนั้นโปรดตรวจสอบเอกสารประกอบสำหรับเวอร์ชันที่ติดตั้งของคุณก่อนที่จะเปลี่ยนแปลงอินสแตนซ์ที่ใช้งานจริง

เหตุใดการบังคับใช้ 2FA จึงทำให้เกิดปัญหาในการเข้าสู่ระบบ?

Nextcloud ถือว่าการยืนยันตัวตนสองขั้นตอน (2FA) เป็นฟีเจอร์ที่สามารถเสียบปลั๊กใช้งานได้: ผู้ดูแลระบบสามารถเปิดใช้งานแอปของผู้ให้บริการอย่างน้อยหนึ่งแอป และผู้ใช้สามารถกำหนดค่าปัจจัยดังกล่าวได้ในการตั้งค่าส่วนบุคคล เว้นแต่ผู้ดูแลระบบจะบังคับใช้ข้อกำหนดดังกล่าว นโยบายที่ไม่มีผู้ให้บริการที่พร้อมใช้งาน ผู้ใช้ที่ยังไม่ได้ลงทะเบียน หรือตัวยืนยันตัวตนที่สูญหาย อาจทำให้การเข้าสู่ระบบล้มเหลว รหัสกู้คืนและขั้นตอนการกู้คืนของผู้ดูแลระบบที่ผ่านการทดสอบแล้วจะช่วยลดความเสี่ยงนั้นลง

การบังคับใช้ 2FA ยังส่งผลกระทบต่อแอปพลิเคชันที่เชื่อมต่อกับ Nextcloud ด้วย ใน Nextcloud 35 แอปพลิเคชันไคลเอ็นต์ที่ไม่สามารถทำการยืนยันตัวตนแบบสองขั้นตอนได้ จะต้องใช้รหัสผ่านแอปเฉพาะอุปกรณ์ วางแผนสำหรับไคลเอ็นต์การซิงค์บนเดสก์ท็อป แอปมือถือ และการผสานรวมต่างๆ ก่อนการเปิดใช้งานจริง

1. เลือกผู้ที่ต้องใช้ 2FA

เริ่มต้นด้วยการกำหนดนโยบายให้กับกลุ่มใน Nextcloud ตัดสินใจว่ากฎนี้ใช้กับทุกคน แผนกที่เลือก หรือผู้ใช้ทุกคนยกเว้นบัญชีบริการจำนวนเล็กน้อยที่ระบุไว้ ตรวจสอบให้แน่ใจว่าบัญชีที่เกี่ยวข้องอยู่ในกลุ่มที่คุณต้องการกำหนดเป้าหมาย หลีกเลี่ยงการยกเว้นแบบกว้างๆ เพราะบัญชีที่ถูกยกเว้นจะไม่ได้รับการปกป้องการเข้าสู่ระบบเช่นเดียวกับบัญชีที่ถูกบังคับใช้

หลักการทำงานแบบกลุ่มของ Nextcloud มีความสำคัญ หากไม่มีการเลือกกลุ่มใด ๆ เพื่อบังคับใช้ กฎจะใช้กับทุกคนยกเว้นสมาชิกของกลุ่มที่ถูกยกเว้น หากคุณเลือกกลุ่ม กฎจะใช้กับสมาชิกของกลุ่มเหล่านั้น การเป็นสมาชิกในกลุ่มที่เลือกจะมีผลเหนือกว่าหากผู้ใช้นั้นอยู่ในกลุ่มที่ถูกยกเว้นด้วย โปรดตรวจสอบกฎเหล่านี้ในเอกสารอย่างเป็นทางการของ Nextcloud 35 เกี่ยวกับการตรวจสอบสิทธิ์แบบสองปัจจัยก่อนบันทึกนโยบายที่มีข้อยกเว้น

2. เปิดใช้งานผู้ให้บริการอย่างน้อยหนึ่งรายและทดสอบการลงทะเบียน

ในบัญชีผู้ดูแลระบบ ให้เปิดแอปและตรวจสอบแอปที่ถูกปิดใช้งานเพื่อหาผู้ให้บริการ เช่นผู้ให้บริการยืนยันตัวตนสองขั้นตอน TOTPคู่มือ Nextcloud 35 ระบุว่า TOTP อาจติดตั้งอยู่แต่ถูกปิดใช้งานโดยค่าเริ่มต้น ผู้ให้บริการที่ใช้การแจ้งเตือนอาจต้องเปิดใช้งานด้วยเช่นกัน ผู้ให้บริการรหัสสำรองในตัวพร้อมใช้งานสำหรับการกู้คืนบัญชี แอปผู้ให้บริการอื่นๆ อาจมีอยู่ใน Nextcloud App Store แต่โปรดตรวจสอบให้แน่ใจว่าแอปนั้นรองรับเวอร์ชันเซิร์ฟเวอร์ที่ติดตั้งของคุณก่อนที่จะใช้งาน

สำหรับการทดสอบนำร่องขนาดเล็ก ให้เปิดใช้งาน TOTP และขอให้ผู้ใช้ทดสอบเปิดการตั้งค่าส่วนบุคคล ค้นหา การตรวจสอบสิทธิ์แบบสองขั้นตอนสแกนรหัส QR ที่แสดงด้วยแอปตรวจสอบสิทธิ์ที่ใช้งานร่วมกันได้ และยืนยันการลงทะเบียน ทำเช่นนี้กับบัญชีที่คุณสามารถรีเซ็ตได้อย่างปลอดภัย เปิดเซสชันผู้ดูแลระบบแยกต่างหากไว้ในขณะทดสอบ อย่าบังคับใช้กฎกับระบบทั้งหมดจนกว่าผู้ใช้ทั่วไปและผู้ดูแลระบบจะเข้าสู่ระบบใหม่ด้วยการตรวจสอบสิทธิ์แบบสองขั้นตอนเรียบร้อยแล้ว

ผู้ใช้ควรสร้างรหัสสำรองแบบใช้ครั้งเดียวจากค่าการตั้งค่าปัจจัยที่สองส่วนบุคคล และจัดเก็บรหัสเหล่านั้นแยกต่างหากจากโทรศัพท์หรือรหัสความปลอดภัยที่ใช้ในการเข้าสู่ระบบคู่มือผู้ใช้ Nextcloud อย่างเป็นทางการเกี่ยวกับ 2FAจะอธิบายวิธีการตั้งค่า TOTP รหัสกู้คืน ข้อความแจ้งให้เข้าสู่ระบบ และรหัสผ่านเฉพาะอุปกรณ์

3. บังคับใช้ข้อกำหนดในส่วนการตั้งค่าการดูแลระบบ

เมื่อนักบินสามารถลงชื่อเข้าใช้และกู้คืนการเข้าถึงได้แล้ว ให้เปิดการตั้งค่าการดูแลระบบ > ความปลอดภัยและค้นหาส่วนการตรวจสอบสิทธิ์แบบสองปัจจัย เปิดใช้งานการตั้งค่าการบังคับใช้ หากรวมเฉพาะผู้ใช้บางราย ให้เลือกกลุ่มที่คุณเลือกในขั้นตอนที่ 1 และตรวจสอบรายการกลุ่มที่ยกเว้นอย่างละเอียด หากคุณต้องการกำหนดให้ทุกคนใช้ 2FA ให้เว้นช่องจำนวนกลุ่มที่เลือกว่างไว้ ใช้การยกเว้นเฉพาะเมื่อมีเหตุผลในการปฏิบัติงานที่เฉพาะเจาะจงและมีมาตรการป้องกันอื่น ๆ

แจ้งให้ผู้ใช้ทราบว่านโยบายจะมีผลบังคับใช้เมื่อใด ต้องกำหนดค่าผู้ให้บริการรายใด สร้างรหัสสำรองได้ที่ใด และขอความช่วยเหลือได้อย่างไร หากคุณมีการใช้งานในวงกว้าง ให้ขยายการใช้งานทีละกลุ่มแทนที่จะเปลี่ยนทั้งเซิร์ฟเวอร์พร้อมกัน วิธีนี้จะช่วยให้ผู้ดูแลระบบมีโอกาสตรวจสอบสมาชิกกลุ่มที่ขาดหายไป ไคลเอนต์ที่ไม่รองรับ และปัญหาเฉพาะของผู้ให้บริการ ก่อนที่จะส่งผลกระทบต่อทุกคน

4. ใช้ occ เมื่อคุณต้องการทำการเปลี่ยนแปลงฝั่งเซิร์ฟเวอร์ที่ทำซ้ำได้

ผู้ดูแลระบบยังสามารถบังคับใช้ 2FA ด้วยคำสั่งของ Nextcloud ได้อีกด้วยoccเรียกใช้คำสั่งนี้จากไดเร็กทอรีการติดตั้ง Nextcloud โดยใช้บัญชีเว็บเซิร์ฟเวอร์ ชื่อบัญชี คำสั่ง PHP และเส้นทางการติดตั้งจะแตกต่างกันไปตามโฮสต์หรือคอนเทนเนอร์ ตัวอย่างต่อไปนี้ใช้ผู้ใช้เว็บ Linux ทั่วไปwww-dataตามที่แสดงในคู่มือ Nextcloud:

sudo -E -u www-data php occ twofactorauth:enforce --on

หากต้องการกำหนดให้กลุ่มที่เลือกต้องใช้การยืนยันตัวตนสองขั้นตอน (2FA) โดยอาจยกเว้นกลุ่มบัญชีบริการ ให้ใช้คำสั่งต่อไปนี้:

sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

แทนที่รหัสกลุ่มตัวอย่างและบัญชีเว็บเซิร์ฟเวอร์ด้วยค่าจากอินสแตนซ์ของคุณ คำสั่งนี้สามารถปิดการบังคับใช้ได้หากจำเป็นต้องหยุดการปรับใช้ชั่วคราว:

sudo -E -u www-data php occ twofactorauth:enforce --off

ใช้เอกสารอ้างอิง Nextcloud occ ฉบับ ปัจจุบัน เพื่อยืนยันไวยากรณ์สำหรับเวอร์ชันของคุณ สำหรับ Docker หรือการใช้งานแบบจัดการอื่นๆ ให้เรียกใช้occภายในสภาพแวดล้อมแอปพลิเคชันที่ถูกต้องโดยใช้ผู้ใช้และคำสั่งที่ระบุไว้ในการใช้งานนั้น อย่าเรียกใช้ตัวอย่างระดับโฮสต์โดยไม่ตรวจสอบให้ดี

5. เตรียมพร้อมรับมือกรณีอุปกรณ์และแอปพลิเคชันของลูกค้าสูญหาย

หากผู้ใช้ทำโทรศัพท์หรือกุญแจที่ใช้เก็บรหัสยืนยันตัวตนหาย รวมถึงรหัสสำรองด้วย พวกเขาอาจไม่สามารถเข้าสู่ระบบได้ ก่อนที่จะใช้งานจริง ให้ทดสอบขั้นตอนการกู้คืนด้วยบัญชีที่ไม่สำคัญก่อน Nextcloud มี คำสั่ง occ twofactorauth:disableและ วิธีการกู้คืนเฉพาะสำหรับผู้ให้บริการแต่ละราย twofactorauth:enableหากผู้ให้บริการนั้นรองรับ ไม่ใช่ทุกผู้ให้บริการที่จะรองรับการเปลี่ยนแปลงต่อผู้ใช้แอป Two-Factor Admin Supportเป็นอีกทางเลือกหนึ่งในการกู้คืนสำหรับ Nextcloud เวอร์ชันที่รองรับ ตรวจสอบความเข้ากันได้และสถานะการติดตั้งก่อนที่จะใช้งาน

อย่าปิดใช้งานหรือลบผู้ให้บริการที่ผู้ใช้ได้กำหนดค่าไว้แล้วโดยไม่วางแผนการเปลี่ยนแปลงล่วงหน้า Nextcloud อาจเก็บรักษาการเชื่อมโยงผู้ให้บริการไว้หลังจากที่แอปถูกลบ ซึ่งอาจทำให้เกิดข้อผิดพลาดในการตรวจสอบสิทธิ์ คู่มือการดูแลระบบได้ระบุคำสั่งล้างข้อมูลสำหรับผู้ให้บริการที่ถูกลบออกอย่างถาวร การล้างข้อมูลนั้นไม่สามารถย้อนกลับได้ ดังนั้นควรใช้เฉพาะเมื่อคุณไม่วางแผนที่จะเปิดใช้งานผู้ให้บริการนั้นอีกครั้ง

สำหรับไคลเอนต์บนเดสก์ท็อปและมือถือที่ไม่สามารถตอบคำถามยืนยันตัวตนสองขั้นตอน (2FA) แบบโต้ตอบได้ ให้ผู้ใช้สร้างรหัสผ่านแอปจากหน้าการตั้งค่าบัญชี Nextcloud และอัปเดตข้อมูลประจำตัวของไคลเอนต์ เอกสาร Nextcloud 35 ระบุว่ารหัสผ่านแอปเป็นสิ่งจำเป็นสำหรับบัญชีที่เปิดใช้งาน 2FA การทดสอบการเข้าสู่ระบบผ่านเบราว์เซอร์เพียงอย่างเดียวจะไม่สามารถยืนยันได้ว่าไคลเอนต์การซิงค์และการผสานรวมยังคงทำงานได้

ตรวจสอบว่าการบังคับใช้กฎหมายได้ผลหรือไม่

ทดสอบกับผู้ใช้ทดลองในหน้าต่างเบราว์เซอร์แบบส่วนตัว หรือหลังจากออกจากระบบแล้ว ป้อนชื่อผู้ใช้และรหัสผ่านตามปกติ จากนั้นตรวจสอบว่า Nextcloud ขอการยืนยันตัวตนสองขั้นตอนที่กำหนดค่าไว้และยอมรับรหัสที่ถูกต้องหรือไม่ ทดสอบรหัสสำรองหนึ่งครั้งหากขั้นตอนการกู้คืนของคุณอนุญาต โดยจำไว้ว่ารหัสสำรองใช้ได้เพียงครั้งเดียวเท่านั้น จากนั้น ทดสอบแอปพลิเคชันไคลเอ็นต์และการผสานรวมที่องค์กรของคุณใช้งานอยู่

สำหรับบัญชีใดบัญชีหนึ่ง ให้เรียกใช้คำสั่งตรวจสอบสถานะจากไดเร็กทอรี Nextcloud:

sudo -E -u www-data php occ twofactorauth:state username

ตรวจสอบให้แน่ใจว่าบัญชีนั้นอยู่ภายใต้นโยบายการบังคับใช้ที่ต้องการ และผู้ให้บริการที่เลือกไว้ใช้งานได้ หากผู้ใช้ที่เลือกไม่จำเป็นต้องใช้ 2FA ให้ตรวจสอบการเป็นสมาชิกกลุ่มและการยกเว้นก่อนที่จะเปลี่ยนแปลงกฎทั่วไป การตั้งค่าจะเสร็จสมบูรณ์เมื่อผู้ใช้ที่ต้องการได้รับการท้าทายเมื่อเข้าสู่ระบบ บัญชีที่ถูกยกเว้นจะถูกจำกัดตามข้อยกเว้นที่ระบุไว้ การกู้คืนได้รับการทดสอบแล้ว และไคลเอนต์ที่รองรับสามารถเชื่อมต่อใหม่ได้ด้วยรหัสผ่านแอปของตน

เอกสารอ้างอิงอย่างเป็นทางการ

• คู่มือการใช้งาน Nextcloud 35: การตรวจสอบสิทธิ์แบบสองขั้นตอน
• คู่มือการใช้งาน Nextcloud 35: คำสั่ง occ สำหรับการยืนยันตัวตนสองขั้นตอน (2FA)
• คู่มือผู้ใช้ Nextcloud 35: การใช้งานการยืนยันตัวตนแบบสองขั้นตอน
• คู่มือการใช้งาน Nextcloud 35: รหัสผ่านแอปพลิเคชัน
• Nextcloud App Store: การยืนยันตัวตนแบบสองขั้นตอนสำหรับผู้ดูแลระบบ