系统常识 银河麒麟身份鉴别双因子安全
麒麟密码之外的身份鉴别方式
除口令外，麒麟系统可用的身份鉴别方式：生物特征、智能卡/USBKey、双因子与域目录接入，按行业规范选用的原则。
发布于 2026/11/11
所属频道 银河麒麟
结论先行
口令之外，麒麟常见的身份鉴别方式是「口令 + 另一因素」的组合：USBKey/智能卡、生物特征（指纹/人脸，视设备支持）、域目录集中认证。怎么组合、必须开哪种，按行业规范与项目安全要求定，本文只说能力和位置，不做合规判断。
常见鉴别方式
| 方式 | 说明 | 适用 |
|---|---|---|
| 口令（基础） | 默认口令策略见发行版基线 | 所有场景 |
| USBKey / 智能卡 | 登录时插 Key 验证，通常与口令组成双因子 | 高安全要求的终端/服务器 |
| 生物特征 | 指纹等，依赖终端硬件支持 | 桌面终端 |
| 域目录认证 | 接入 LDAP/域后统一账号与策略 | 域环境 |
| 可信启动 | 结合 TPM 度量链路（另见可信计算篇） | 可信计算场景 |
参考条目：高级服务器 V11 x86-64、桌面版 V11 x86-64。
配置思路
- 先定策略：行业规范/项目要求哪种鉴别强度（单因子还是双因子），再选组件。
- 组件安装与配置：USBKey 驱动/中间件、指纹模块驱动按设备厂商文档配置，系统侧挂到登录流程。
- 口令策略别放松：加了第二因素不意味着口令可以弱，口令复杂度与有效期仍按基线（麒麟镜像列表 条目页可对照基线说明）。
生物特征模块支持情况因终端型号而异；USBKey 类型（国密 Key 等）要求以行业规范与设备适配说明为准。
常见误操作
- 只插 Key 不配系统侧驱动 → 登录界面不识别。
- 域环境里还依赖本地账号 → 两边账号体系打架。
- 把双因子配置当一次性动作，后续 Key 过期/吊销没同步。