Infisical MFA 实战指南把密钥安全全链路锁死【免费下载链接】infisicalInfisical is the open-source platform for secrets, certificates, and privileged access management.项目地址: https://gitcode.com/GitHub_Trending/in/infisical上周有个 .env 被随手 commit 进仓库项目全部密钥十分钟就曝光了。我们的密钥管理平台 Infisical 当天就强制全员开了 MFA——没开 MFA 的账号密码一复用基本等于裸奔而密码复用比想象中普遍得多。 选型速查30 秒定方案MFA 方案上手时间安全强度部署成本适合谁邮件验证码30 秒★★★零成本但依赖 SMTP个人、小团队兜底移动认证器2~3 分钟★★★★零成本离线可用所有人默认推荐Entra ID 联邦半天到一天★★★★★依赖已有 SAML / Entra 环境已上 SSO 的企业先说结论有 Entra 就直接上联邦方案策略一刀切没有的话个人先切移动认证器邮件验证留着当保底。MFA 全开之后每千次凭证盗用尝试里最多剩一次能闯过防线。Entra ID 联邦条件访问五步给全员上 MFA适用前提已接入 SAML SSO 的企业。动手前先让团队成员把 Microsoft Authenticator 装好免得策略一开、登录卡在半路。打开应用注册进 Entra 管理中心找到 Infisical 对应的应用进条件访问安全选项卡下点 Conditional Access用模板建策略选 Create New Policy from Templates勾选全员强制 MFA点 Review Create。模板默认把配置管理员排除在外这条后路建议保留防止全员锁死没人能救启用策略状态置为 Enabled确认创建。生效后没绑过 MFA 的成员首次登录会被强制引导完成注册管理员在 Azure 门户能持续盯验证状态和异常登录。Google Authenticator 扫码之后恢复码别丢Authy、Google Authenticator、Duo任选一个都行流程完全一样。切验证方式个人设置页把 2FA 方法选成移动认证器扫二维码用 App 扫屏幕上的二维码完成初始绑定输入动态码填 App 生成的 6 位码确认绑定存好恢复码这步最容易被跳过——手机丢了它是唯一的找回路径打印出来锁进保险柜别放手机相册和网盘。它的好处是登录时完全离线动态码本地生成不经过网络传输攻击者就算截到流量也拿不到码。邮件验证码30 秒兜底方案装不了认证器 App 的场景固定办公机、临时账号用邮件验证顶一下。开启双重认证个人设置里打开 2FA方式保持默认邮件即可登录收码注册邮箱收到一次性验证码有效期内填进去。直说缺点邮箱本身可能被钓鱼或转发规则劫持所以它只适合过渡条件允许就尽快切回认证器。 上线前对照这张清单恢复码已打印并离线保存任何电子设备里都没有副本全员账号 MFA 开启不接受就我不开的特例Entra 策略保留至少一名排除管理员留好救援通道项目权限按最小权限收过一遍MFA 加权限控制双保险审计日志打开MFA 变更和异常登录留痕可查从动嘴到落地一两个小时就够。细节对照 官方 MFA 文档顺手把 项目权限 和 审计日志 也一起配齐。【免费下载链接】infisicalInfisical is the open-source platform for secrets, certificates, and privileged access management.项目地址: https://gitcode.com/GitHub_Trending/in/infisical创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考