如何在 Zimbra 管理控制台中設定雙重認證 (2FA)

最重要的一點：在目前的 Zimbra Daffodil 文件中，管理員控制台用於啟用或要求帳戶或服務等級 (COS) 的雙重認證，但管理員實際上是在 Zimbra Web 用戶端中註冊自己的第二個因素。註冊完成後，當該管理員登入管理控制台時，系統會提示其輸入第二因素。將這兩個步驟視為兩個獨立的階段可以避免最常見的設定錯誤。

本指南遵循 2026 年 10 月發布的 Zimbra Daffodil (v10) 管理員文件。經典版和現代版 Web 應用的選單標籤可能略有不同，因此 Zimbra 特別指出，註冊頁面可能位於「首選項」>「帳戶」或「安全」下。有關權威的工作流程，請參閱Zimbra Daffodil 管理員指南。

您實際配置的內容

Zimbra 將策略與註冊分開。策略規定了雙重認證 (2FA) 是否可用或強制執行，以及使用者可以使用哪些驗證方法。註冊則將特定的管理員帳戶綁定到身份驗證器應用程序，或者，如果您的部署允許，綁定到恢復電子郵件驗證方法。 Zimbra 在個人帳號層級和 COS 層級都記錄了 2FA 策略。

對於大規模部署，COS 通常是更簡潔的起點，因為它對分配給該類別的每個帳戶套用一致的設定。對於試點項目，單一管理員帳戶可能更安全，因為您可以在擴展策略之前驗證登入行為。如果您管理委派管理員，Zimbra 也支援為這些帳戶啟用雙重認證 (2FA)，但需授予相應的權限。

開始之前

• 使用可以存取管理控制台的管理員帳戶。在典型的安裝中，Zimbra 會在文件中說明控制台的配置https://server.domain.com:7071/。
• 請確保管理員也可以登入 Zimbra Web Client，因為註冊是在那裡完成的。
• 如果您打算使用 TOTP，請確保您已安裝相容的身份驗證器應用程式。 TOTP 指的是基於時間的一次性密碼：該應用程式會根據共用金鑰產生有效期限較短的驗證碼。
• 如果您打算啟用電子郵件驗證，請確認復原電子郵件配置適合您的部署環境。 Zimbra Daffodil 將電子郵件作為額外的雙重認證 (2FA) 因素之一。
• 在大型 COS 系統中強制啟用雙重認證 (2FA) 之前，應至少由一名管理員進行測試，並記錄復原路徑。部署不當可能會導致使用者即使伺服器本身運作正常也無法存取控制台。

步驟 1：登入 Zimbra 管理控制台

透過 HTTPS 開啟管理控制台，並使用完整的管理員位址和密碼登入。在典型的安裝環境中，Zimbra 將連接埠 7071 列為管理控制台的預設連接埠。您的部署可能位於反向代理程式之後，或使用其他存取模式，因此如果不同，請使用您組織的常規管理 URL。

步驟 2：開啟您要保護的服務類別

若要設定全域服務等級策略，請前往「設定」>「服務等級」，選擇相關的服務等級，開啟「進階」，然後找到「雙重認證」。官方指南給出的路徑為「首頁」>「設定」>「服務等級」>「服務等級」>「進階」>「雙重認證」。

如果您只想保護現有帳戶，請使用「管理」>「帳戶」，編輯該帳戶，開啟「進階」選項卡，然後捲動至「雙重認證」部分。先從一個帳戶開始驗證該行為，然後再強制應用於整個班級，這是一種明智的做法。

步驟 3：在需要之前啟用雙重認證

勾選「啟用雙重認證」。這將為所選帳戶或 COS 啟用此功能。請勿將此設定與「要求兩步驟驗證」混淆：啟用後即可註冊；要求後則強制執行。

在分階段部署過程中，這種區別至關重要。例如，您可以先為管理員 COS 啟用雙重認證 (2FA)，註冊並測試兩到三個管理員帳戶，然後再啟用強制驗證功能。 Zimbra 的官方 2FA 文件分別描述了這兩種控制方式。

步驟 4：選擇方法和相關策略設置

啟用此功能後，請選擇您的版本和部署環境允許的雙重認證 (2FA) 方法。目前的 Zimbra Daffodil 文件列出了啟用此功能後支援的身份驗證器應用程式和電子郵件兩種方法。 2024 年 Zimbra 官方指南也指出，管理員可以允許使用身份驗證器應用程式、電子郵件或兩者都允許。

相同原則區域可以包含「要求雙重驗證」、「要產生的單次復原碼數量」和「啟用應用程式密碼」。應用程式密碼適用於無法完成互動式雙重認證流程的舊版用戶端。請勿僅因應用程式密碼存在而自動啟用它們；僅當客戶端有此需求且有相應的撤銷流程時才使用。

當設定與您的部署計劃相符時，請儲存配置。有關目前命令列等效項和方法控制，請參閱 Zimbra官方的 2FA 管理員指南。

步驟 5：在 Zimbra Web 用戶端中註冊管理員

現在退出管理控制台，使用同一個管理員帳號登入 Zimbra Web 用戶端。這裡很容易被忽略：Zimbra 的 Daffodil 指南指出，管理員帳戶必須透過 Web 用戶端介面設定自己的雙重認證 (2FA)。

開啟「首選項」，然後根據使用者介面版本選擇「帳戶」或「安全性」 ，找到「雙重認證」，然後開始設定。如果未顯示設定選項，請先確認帳戶是否已透過其帳戶設定或繼承的 COS 策略啟用雙重認證。

步驟 6：選擇驗證方法

選擇符合您策略的方法。身份驗證器應用程式使用 TOTP 代碼，無需在登入時接​​收訊息。電子郵件驗證則使用復原電子郵件作為附加因素（前提是已啟用並配置此方法）。如果您的組織允許兩種方法同時使用，請根據您的恢復和營運需求選擇最合適的方法，而不是想當然地認為它們可以互換。

對於特權管理員帳戶，也要考慮第二重驗證失效時會發生什麼情況。只有在不削弱帳戶安全性或創建不安全的變通方案的情況下，恢復存取權限的方法才是有效的。

步驟 7：完成身份驗證器設定並驗證程式碼

如果您選擇使用身份驗證器應用，請按照螢幕上的設定流程操作，將 Zimbra 帳戶新增至該應用程式，然後輸入 Zimbra 請求的驗證碼。根據客戶端版本，介面可能會顯示二維碼或手動輸入金鑰。請務必將設定金鑰視為敏感憑證；任何取得該金鑰的人都可能產生有效的 TOTP 代碼。

註冊後，如果您的配置提供了一次性恢復代碼，請妥善保管。目前的 Modern Web App 指南解釋說，每個復原程式碼只能使用一次，並建議將這些程式碼保存在安全的地方。該指南還記錄了無法說明輸入第二因素的電子郵件程式的應用程式密碼：Zimbra Daffodil Modern Web App 使用者指南。

步驟 8：測試新的管理員控制台登入

退出管理控制台和 Web 用戶端，然後重新啟動管理控制台會話。輸入管理員使用者名稱和密碼。已正確註冊的管理員隨後需要完成額外的驗證步驟。 Zimbra 管理員指南指出，一旦為管理員帳戶啟用雙重認證 (2FA)，則 Web 用戶端和管理控制台登入都需要驗證碼。

在測試成功之前，請勿認為變更已完成。如果僅使用密碼仍可登錄，請重新檢查您更改的是目標帳戶還是 COS，帳戶是否已完成註冊，以及帳戶是否繼承了預期的 COS。如果在密碼測試階段之後登入仍然失敗，請使用您已記錄的恢復流程，而不是重複更改無關的設定。

是否應該啟用或強制執行雙重認證？

如果缺少雙重驗證選項，應該檢查什麼？

首先，請確認您正在運行的 Zimbra 版本和版本號，不要想當然地認為其他版本的螢幕截圖就適用。然後，檢查帳戶是否已透過 COS 或帳戶層級設定啟用雙重認證 (2FA)，以及管理員是否擁有所需的權限。 Zimbra 還在 Daffodil 中記錄了許可和功能授權訊息，因此，對於缺少安全功能的環境，應對照已啟動的許可證和官方支援資訊進行檢查，而不是盲目地強制設定屬性。

Zimbra 維基百科的舊版資料也指出，雙重認證 (2FA) 是在 8.7 版本中引入的，而舊版郵箱伺服器並不相容。這主要與舊版或混合版本環境有關；對於目前部署，請遵循與您安裝的 Daffodil 版本相符的文件。

如何判斷設定已完成

當以下四個條件全部滿足時，操作即完成：目標帳戶或 COS 已啟用 2FA；管理員已在 Web 用戶端中註冊了允許的方法；恢復代碼或已批准的回退程序已在適用情況下記錄；並且僅憑密碼無法登入新的管理控制台。

如果您的目標只是保護一位高權限管理員，請使用帳戶級設定並測試該帳戶。如果您的目標是在組織範圍內強制執行，請先驗證試點安全性策略 (COS)，然後再逐步擴展策略。核心設定很簡單；真正需要注意的是部署順序、恢復以及與無法完成正常雙重驗證流程的客戶端的兼容性。

官方參考資料

• Zimbra Daffodil (v10) 管理員指南— 管理員控制台存取、帳戶/COS 2FA 設定、管理員註冊、電子郵件作為 2FA 以及管理員控制台 2FA 登入。
• Zimbra Daffodil 現代 Web 應用程式使用者指南— 受信任的裝置、一次性代碼和應用程式密碼。
• Zimbra 官方 2FA 管理員文章— 目前方法選擇和管理控制台啟用範例。