独立 MFA

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Access settings（Access 设置）。

2. 在 **Allow multi-factor authentication (MFA)（允许多因素身份验证）**下，选择您要在组织中允许的 MFA 方法。

3. 设置 Authentication duration（身份验证时长）。这决定了用户在无需再次提示进行 MFA 的情况下可以登录 Access 的时长。如果用户针对所需的身份验证器方法没有处于活动状态的 MFA 会话，则除了 IdP 身份验证之外，他们还必须完成 MFA。

4. （可选）为避免重复提示用户进行 MFA，您可以启用 Use identity provider MFA（使用身份提供商 MFA）。这将检查身份验证时从身份提供商传递的 AMR 值，如果该 AMR 值符合允许的 MFA 方法，则在配置的持续时间内不会提示用户进行 MFA。

5. （可选）要将您的 MFA 方法和身份验证时长应用于所有 Access 应用程序，请选择 Apply global MFA settings by default（默认应用全局 MFA 设置）。您可以针对单个应用程序和策略覆盖全局 MFA 设置。

6. 选择 Save（保存）。

1. 获取您现有的 Zero Trust 组织配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发送 PUT 请求以更新您组织的 MFA 设置。为了避免覆盖您现有的配置，PUT 请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"totp",
   						"biometrics",
   						"security_key"
   				],
   				"session_duration": "24h"
   		},
   		"mfa_required_for_all_apps": false
   	}'

   将 allowed_authenticators 设置为一个包含以下一个或多个值的数组：

   • totp — 身份验证器应用程序（基于时间的一次性密码）。
   • biometrics — 生物识别（Touch ID、Face ID、Windows Hello）。
   • security_key — 安全密钥（支持 WebAuthn 的硬件密钥）。
   • piv_key — PIV 密钥（YubiKey）。

   将 session_duration 设置为持续时间字符串（例如，30m、1h、24h）。若要在每次访问时都要求进行 MFA，请使用 0m。

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Resources（资源）> Lists（列表）。
2. 选择 Create new list（创建新列表）。
3. 输入 **List name（列表名称）（例如，Approved security keys）**和可选描述。
4. 将 **List type（列表类型）**设置为 MFA AAGUID。
5. 添加一个或多个 AAGUID 条目：
   • 要添加预定义的 AAGUID，从 **Known authenticators（已知身份验证器）**列表中选择身份验证器。
   • 要添加自定义 AAGUID，填写以下字段：
     • MFA AAGUID — 身份验证器的 AAGUID，采用不带连字符的 32 字符十六进制格式（例如，8c39ee867f9a4a959ba3f6b097e5c2ee）。
     • Description（描述） — 可选标签，如身份验证器的名称和型号。
6. 选择 Save（保存）。

发送一个 POST 请求以创建列表：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/lists" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Approved security keys",
		"description": "AAGUIDs for MFA enrollment",
		"type": "AAGUID",
		"items": [
				{
						"value": "8c39ee867f9a4a959ba3f6b097e5c2ee",
						"description": "YubiKey Bio Series - FIDO Edition (Enterprise Profile)"
				}
		]
	}'

响应中包含列表的 id（UUID）。当您将该列表分配给您组织的 MFA 配置时，请使用此 ID。

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Access settings（Access 设置）。
2. 在 **Allow multi-factor authentication (MFA)（允许多因素身份验证）**下，转到 Restrict MFA to specific authentication methods（将 MFA 限制为特定身份验证方法）。
3. 选择一个现有的 AAGUID 列表。
4. 选择 Save（保存）。

保存后，仅可以注册其 AAGUID 出现在列表中的身份验证器。先前已注册且不在列表中的身份验证器的用户可以继续使用它们，直到它们被管理员删除。

1. 获取您现有的 Zero Trust 组织配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发送一个 PUT 请求以分配列表。为了避免覆盖您现有的配置，PUT 请求体应包含上一个 GET 请求返回的所有字段。将 mfa_config.required_aaguids 设置为您的 AAGUID 列表的 ID。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"security_key",
   						"totp",
   						"biometrics"
   				],
   				"session_duration": "24h",
   				"required_aaguids": "05ddacda-5131-41ab-9eeb-6763f8dce3be"
   		}
   	}'

   要移除限制，请将 required_aaguids 设置为 null。

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Access settings（Access 设置）。
2. 在 **Allow multi-factor authentication (MFA)（允许多因素身份验证）**下，启用 Use identity provider MFA（使用身份提供商 MFA）。
3. 在 **Authentication Method Reference (AMR) match duration（身份验证方法参考 [AMR] 匹配时长）**下，设置成功的 IdP MFA 保持有效的时长。在此期间，用户可以登录 Access 而无需额外的 MFA 提示。您可以设置自定义持续时间（默认 24 小时），或者在每次登录时都检查有效的 AMR 值。
4. 选择 Save（保存）。

1. 获取您现有的 Zero Trust 组织配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发送一个 PUT 请求以更新您组织的 AMR 匹配设置。为了避免覆盖您现有的配置，PUT 请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": [
   						"totp",
   						"biometrics",
   						"security_key"
   				],
   				"session_duration": "24h",
   				"amr_matching_enabled": true,
   				"amr_session_duration": "1h"
   		}
   	}'

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Access settings（Access 设置）。
2. 在 **Allow multi-factor authentication (MFA)（允许多因素身份验证）**下，关闭 Apply global MFA settings by default（默认应用全局 MFA 设置）。
3. 关闭所有 MFA 方法（生物识别、安全密钥和身份验证器应用程序）。

如果更新 MFA 设置时出错，请确保已从所有应用程序和策略中移除自定义 MFA 设置。

1. 获取您现有的 Zero Trust 组织配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Revoke
   • Access: Organizations, Identity Providers, and Groups Write
   • Access: Organizations, Identity Providers, and Groups Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发送一个带有空 allowed_authenticators 数组的 PUT 请求。为了避免覆盖您现有的配置，PUT 请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Organizations, Identity Providers, and Groups Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/organizations" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"auth_domain": "your-team-name.cloudflareaccess.com",
   		"name": "Your Team Name",
   		"mfa_config": {
   				"allowed_authenticators": []
   		}
   	}'

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Team & Resources（团队与资源）> Users（用户）。
2. 选择要删除其身份验证器的用户。
3. 在 **MFA devices（MFA 设备）**下，找到该身份验证器并选择 Delete（删除）。

下一次用户访问要求 MFA 的应用程序时，他们需要注册一个新的身份验证器。

发送一个 DELETE 请求以移除特定身份验证器：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/users/$USER_ID/mfa_authenticators/$AUTHENTICATOR_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

参数：

• user_id — 用户的 UUID。您可以在 Team & Resources（团队与资源）> **Users（用户）**下的用户详细信息中找到此 ID。
• authenticator_id — 身份验证器的唯一标识符。