如何在 Nextcloud 中設定和強制執行雙重認證 (2FA)

Nextcloud 使用者登入後輸入了正確的密碼，卻發現伺服器要求進行雙重認證，而他們之前從未配置過。這種情況通常發生在管理員啟用雙重認證 (2FA) 之前，即在未啟用身分驗證提供者、未測試註冊流程、未做好使用者復原準備的情況下就啟用了強制 2FA。較穩健的做法是先啟用受支援的身份驗證供應商，先在一小部分使用者中進行試點，然後再對目標帳號強制執行 2FA。

以下步驟遵循 2026 年 10 月 6 日發布的 Nextcloud 35 穩定版管理與使用手冊。 Nextcloud 的介面和可用的提供者應用程式可能會因伺服器版本和部署方式而異，因此在變更生產實例之前，請確認您已安裝版本的文件。

為什麼強制啟用雙重認證會導致登入問題？

Nextcloud 將雙重認證 (2FA) 視為可插拔功能：管理員啟用一個或多個提供者應用，使用者在個人設定中配置驗證因素，除非管理員強制要求。如果政策中沒有可用的提供者、使用者未註冊或驗證器遺失，則可能導致登入中斷。復原程式碼和經過測試的管理員復原路徑可以降低這種風險。

強制執行雙重認證 (2FA) 也會影響連接到 Nextcloud 的應用程式。在 Nextcloud 35 中，無法完成雙重驗證的客戶端應用程式需要使用裝置特定的應用程式密碼。在正式部署之前，請為桌面同步用戶端、行動應用程式和整合做好規劃。

1. 選擇哪些人必須使用雙重認證

首先將策略對應到 Nextcloud 使用者群組。確定規則是適用於所有人、特定部門，還是除少數已記錄的服務帳戶之外的所有使用者。確保相關帳戶確實屬於您要針對的使用者群組。避免範圍過廣的排除：被排除的帳戶無法獲得與受保護帳戶相同的登入保護。

Nextcloud 的分組邏輯至關重要。如果未選擇任何分組進行強制執行，則該規則適用於已排除分組成員之外的所有使用者。如果選擇了分組，則該規則適用於這些分組的成員；如果使用者同時屬於已選取的分組和已排除分組，則已選擇分組的成員資格優先。在儲存包含例外情況的策略之前，請務必在Nextcloud 35 雙重認證官方文件中確認這些規則。

2. 啟用至少一個提供者並測試註冊

在管理員帳戶中，開啟「套用」並檢查已停用的應用程式，尋找諸如「雙因素 TOTP 提供者」之類的應用程式。 Nextcloud 35 手冊指出，TOTP 可能已安裝但預設為停用狀態；基於通知的提供者可能也需要啟用。內建的備份代碼提供者可用於帳戶恢復。 Nextcloud 應用程式商店中可能提供其他提供者應用，但在使用任何應用程式之前，請務必確認其支援您已安裝的伺服器版本。

對於小規模試點，啟用 TOTP 後，請測試使用者開啟個人設置，找到「雙重驗證」，使用相容的身份驗證器套用掃描顯示的二維碼，並確認註冊。請使用可以安全重設的帳戶進行此操作。測試期間，請保持一個單獨的管理員會話處於開啟狀態。在一般使用者和管理員都使用雙重驗證完成全新登入之前，請勿在整個執行個體上強制執行此規則。

使用者應根據個人雙重驗證設定產生一次性備份代碼，並將其與用於登入的手機或安全金鑰分開儲存。 Nextcloud 官方的雙重驗證使用者指南解釋了 TOTP 設定、還原代碼、登入提示和裝置特定密碼。

3. 在管理設定中強制執行此要求

當飛行員可以登入並恢復存取權限後，開啟「管理設定」>「安全性」，找到雙重認證部分。啟用強制執行設定。如果僅包含部分用戶，請選擇您在步驟 1 中選擇的群組，並仔細檢查排除群組清單。如果您打算要求所有使用者都啟用雙重認證，請將選定群組限制留空；僅在存在特定操作原因和替代安全措施時才使用排除項。

告知使用者策略生效時間、需要設定的提供者、備份程式碼的產生位置以及如何尋求協助。如果部署規模較大，建議按群組逐步推廣，而不是一次性切換整個伺服器。這樣管理員有機會在問題影響所有使用者之前，發現缺少的群組成員、不受支援的客戶端以及特定於提供者的問題。

4. 當您需要可重複的伺服器端變更時，請使用 occ

管理員也可以使用 Nextcloud 的occ命令強制執行雙重認證 (2FA)。請以 Web 伺服器帳號身分從 Nextcloud 安裝目錄執行該指令；帳號名稱、PHP 指令和安裝路徑因主機或容器而異。以下範例使用www-dataNextcloud 手冊中所示的常用 Linux Web 使用者：

sudo -E -u www-data php occ twofactorauth:enforce --on

若要對選定的群組（可選擇排除服務帳戶群組）啟用雙重認證，請使用：

sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

請將範例中的群組 ID 和 Web 伺服器帳戶替換為您實例中的對應值。如果需要暫停部署，該命令可以關閉強制執行：

sudo -E -u www-data php occ twofactorauth:enforce --off

請使用最新的Nextcloud occ 參考文件來確認您版本的語法。對於 Docker 或其他託管部署，請occ在正確的應用程式環境中使用該部署文件中記錄的使用者和命令執行；切勿盲目地執行主機層級的範例。

5. 做好設備和客戶端應用程式遺失的準備

如果用戶遺失了儲存其驗證碼的手機或金鑰，並且也遺失了備用代碼，則可能無法登入。在強制執行之前，請使用非關鍵帳戶測試您的復原流程。 Nextcloud 會在提供者支援的情況下提供特定occ twofactorauth:disable於提供者的twofactorauth:enable命令；並非所有提供者都支援針對每個使用者的變更。「雙重認證管理員支援」應用程式是另一個適用於支援 Nextcloud 版本的復原選項。在依賴它之前，請驗證其相容性和安裝狀態。

請勿在未做好過渡計畫的情況下停用或移除使用者已配置的提供者。 Nextcloud 可能會在應用程式移除後保留提供者關聯，這可能會導致身份驗證錯誤。其管理手冊中記錄了一個用於永久移除提供者的清理命令；該清理操作不可逆，因此僅當您不打算再次啟用該提供者時才應使用此命令。

對於無法回應互動式雙重認證 (2FA) 提示的桌面和行動用戶端，請讓使用者在其 Nextcloud 帳戶設定中建立應用程式密碼並更新用戶端憑證。 Nextcloud 35 文件指出，啟用 2FA 的帳戶必須設定應用程式密碼。僅進行瀏覽器登入測試無法確認同步客戶端和整合是否仍正常運作。

核實執法工作是否有效

使用試點用戶在隱私瀏覽器視窗中或登出後進行測試。輸入常用的使用者名稱和密碼，然後確認 Nextcloud 是否要求輸入已配置的雙重驗證碼並接受有效的驗證碼。如果您的復原流程允許，請測試一次備份驗證碼，但請記住備份驗證碼只能使用一次。接下來，測試貴組織所依賴的客戶端應用程式和整合。

對於特定帳戶，請從 Nextcloud 目錄執行狀態命令：

sudo -E -u www-data php occ twofactorauth:state username

檢查帳戶是否在預期的強制執行策略範圍內，以及其選擇的提供者是否處於啟動狀態。如果選定的使用者無需使用雙重認證 (2FA)，請在變更全域規則之前檢查群組成員關係和排除項。當預期使用者在登入時受到身份驗證挑戰，排除的帳戶僅限於已記錄的例外情況，恢復功能已測試完畢，並且受支援的用戶端可以使用其應用密碼重新連接時，設定即完成。