balena 2FA：如何为 balenaCloud 设置身份验证器 App
作者：Novaz 团队 · 更新于 2026年11月5日
Novaz 操作步骤已在 1.0.5 版本中核实
本文译自英文指南。在服务的网站上，按钮和菜单的中文名称可能略有不同。
balenaCloud 账号掌管着一批批联网设备：它们运行的代码、对它们的 SSH 访问，以及能修改这一切的 API 密钥。所以它值得比一个密码更多的保护。balena 的双重认证（2FA）是可选的，只有一种方式：身份验证器 App 生成的基于时间的验证码（TOTP）。文档中没有短信方式（balena，balena）。本指南以 iPhone 上的 Authenticator App - Novaz 为例，其他身份验证器 App 的操作也一样。
我们如何核实本指南： balena 的步骤来自 balena 官方文档（链接见下文），我们于 2026 年 10 月 21 日查阅。关于无法登录的情况，我们还查阅了 balena 团队在其官方论坛上的回复。我们没有在 balenaCloud 账号上实际测试其中任何内容，因此个别标签可能略有不同。Novaz 的步骤已在 1.0.5 版 App 中核对。
使用身份验证器 App 开启 2FA
balena 的账号文档给出的步骤如下（balena）：
- 登录 balenaCloud 控制面板。点击右上角的个人资料，打开 Preferences（偏好设置）页面。
- 打开 Two-factor Authentication（双重认证）标签页，点击 Enable two-factor authentication（启用双重认证）。
- balena 会显示一个二维码和一个 Pairing code（配对码）字段。在 Novaz 中点按 +，然后点按 扫描二维码，将相机对准显示器上的二维码。如果控制面板就在这台 iPhone 上打开，先截屏，点按 +，然后点按 选择照片。参阅在同一台 iPhone 上扫描二维码。
- 把 Novaz 中的 6 位验证码输入 Pairing code。
- balena 随后会显示你的恢复码。下载并妥善保存，然后点击 OK（确定）。
文档指出，只有配对成功后 2FA 才会开启，所以中途离开不会把你锁在账号之外。
balena 的文档没有提到可以代替扫描的文本密钥，也没有说明验证码多久更换一次。请扫描二维码：它会把验证码的设置带到你的 App 中。如果你确实找到了密钥并通过 手动输入密钥 输入，Novaz 会按每 30 秒生成 6 位验证码处理。参阅什么是 2FA 设置密钥？
balena 的已验证 App 列表中列出了 Google Authenticator、Authy 和 1Password。Novaz 不在列表中，但它生成的是同样的标准 TOTP 验证码。
如果你通过 SAML 登录
如果你使用公司的单点登录，每次尝试启用 2FA 都会出错，balena 的建议是退出登录，重新登录，然后立即再试一次（balena）。
balena 何时要求输入验证码
设置完成后，下次登录时，在你输入用户名和密码之后，balena 会要求输入 App 中的验证码（balena）。文档没有提到记住设备或受信任设备。
在命令行中，balena login 可以使用电子邮件、密码和 2FA 验证码登录，也可以让你从控制面板授权 CLI，或者接受会话令牌或 API 密钥（balena）。API 密钥除非被撤销否则永不过期，并且拥有你的全部权限（balena），所以要像保护恢复码一样保护它们。
保管好恢复码
恢复码是 balena 文档中唯一的备用方式。如果手机没了，而你又没有 Novaz 备份，或者备份是在添加 balena 之前做的，恢复码就是你重新登录的途径。把它们存进密码管理器或写在纸上，并且不要和手机放在一起。详见2FA 备用码。
如果 balena 不接受你的验证码
balena 的文档表示，App 中的倒计时一结束，验证码就会失效，所以要趁它还显示时输入。如果新的验证码也一直失败，检查 iPhone 的时钟：设置 › 通用 › 日期与时间 › 自动设置。时钟偏差达到 15 秒或以上时，Novaz 会提醒你。其他原因见身份验证器验证码无效？
更换手机
balena 的文档没有介绍如何把 2FA 转移到新手机。它给出的步骤只有关闭再重新开启。趁旧手机还在，先停用 2FA，再重新启用，用新 iPhone 扫描新的二维码。如果你开启了 Novaz 的 iCloud 备份或保存了备份文件，在新 iPhone 上恢复是更简单的办法：验证码会继续有效。参阅如何把身份验证器 App 转移到新 iPhone。
如果丢失了身份验证器
用一个恢复码登录。如果没有恢复码，balena 的文档没有提供自助途径。文档中寻求帮助的地方是 balena 论坛的产品支持版块（balena）。
在 2023 年的一个论坛帖子中，balena 团队（包括一位列明身份的论坛版主）的回复介绍了处理流程。恢复码是证明账号属于你的最快方式。如果没有恢复码，balena 会核实你是否持有你添加到 balenaCloud 账号中的某个 SSH 密钥的私钥部分。你要对他们给出的一串字符进行签名，并把结果私下发给 balena 团队成员，绝不要发在公开帖子里。签名核验通过后，balena 会移除 2FA，让你只用密码就能登录（balena forums）。这些信息来自论坛回复而不是文档，balena 也没有说明需要多长时间。如果你用 SSH 连接设备，请保留好那个密钥。详见丢了装有身份验证器 App 的手机？
关闭 2FA
回到偏好设置中的 Two-factor Authentication 标签页，点击 Disable two-factor authentication（停用双重认证）。balena 会先要求输入账号密码（balena）。如果你是用 GitHub 或 Google 注册的，从未设置过密码，可以在同一页面的 Account details（账号详情）标签页中添加一个。
