iMC EAD（EIA）账号密码 + 二次核验（短信 / 扫码 / 人脸）双重认证完整说明

一、核心结论：支持「先账号密码，再二次校验」2FA 实名双重认证

二、三种二次认证分别支持情况

1. 短信验证码（官方原生完整支持，推荐企业内网员工）

认证流程（Portal 网页标准顺序）

1. 用户输入账号 + 静态密码提交；
2. 密码校验通过后，页面弹出短信验证码输入框，点击获取验证码；
3. 输入手机收到的动态短信码，二次校验通过后放行上网 + EAD 安全检测。

支持场景

• Web Portal（有线 / 无线 WAC381 等）：完美支持分步双因子；
• iNode 802.1X 客户端：需定制客户端开启短信校验，同步弹窗输入密码 + 短信码；
• 版本要求：EIA E0633 及以上全量支持组合认证。

前置条件

1. iMC 配置短信网关（运营商 / 第三方短信 API）；
2. 用户账号维护实名手机号；
3. 认证方案选择「组合认证」：本地密码认证 + 短信动态密码认证。

2. 扫码认证（分两种场景，两种逻辑）

场景 A：密码 + 扫码二次核验（员工实名 2FA）—— 原生 E 盾动态令牌

场景 B：访客纯扫码上网（无前置账号密码）

3. 人脸实名认证（无原生内置，需第三方人脸平台对接）

1. 自定义外部认证接口（标准方案）
   配置 EIA 外部认证服务，Portal 页面完成账号密码校验后，跳转第三方人脸核验页面（对接公安实名、企业人脸门禁系统），人脸比对成功返回 iMC 放行；
2. 第三方 RADIUS 联动
   人脸平台作为独立 RADIUS 服务，EIA 组合认证串联「密码 + 人脸 RADIUS 校验」。
   适用：园区、学校、涉密场景强制实名人脸核验。

三、两种接入方式差异（Portal vs iNode 客户端）

1. Web Portal（无线 AC / 有线交换机网页认证，首选）
   完全实现分步式双因子：先密码、再短信 / 扫码 / 人脸二次校验，流程符合需求，无客户端限制，手机、电脑通用。
2. iNode 客户端 802.1X EAD
   • 短信 / E 盾扫码：定制客户端后同一弹窗同时输入密码 + 动态码，不是分步页面；
   • 人脸：客户端无法内嵌人脸采集，只能走 Portal 网页认证实现分步人脸核验。

四、关键配置逻辑（实现先密码、再二次校验）

1. iMC 控制台 → 用户 → 接入策略管理 → 认证方案 → 新建组合认证；
2. 认证因子排序：第一位：本地账号密码认证，第二位：短信 / 外部人脸 / E 盾扫码认证；
3. 将组合认证方案绑定 Portal/802.1X 接入服务；
4. 开启 EAD 安全策略（杀毒、补丁、终端合规检测），二次认证通过后再执行 EAD 健康检查。

五、功能限制汇总

1. 人脸：无原生人脸模块，必须对接第三方实名平台开发接口；
2. iNode 客户端：无法分步弹窗，只能一次性填写密码 + 动态码；
3. 短信：必须部署短信网关，用户账号绑定手机号才能下发验证码；
4. 纯访客扫码：无前置账号密码，不能作为员工双重认证使用。

六、快速选型建议

1. 企业内部员工、低成本、易落地：账号密码 + 短信验证码 Portal 双因子；
2. 高安全、无短信成本：账号密码 + 新华三 E 盾扫码令牌；
3. 园区 / 学校强制实名核验：账号密码 + 第三方人脸对接 Portal 认证。