การใช้งาน OTP Authentication บน Sangfor Platform-X

บทนำ

OTP (One-Time Password) Authentication เป็นการเพิ่มชั้นความปลอดภัยให้กับ Account Sangfor Platform-X และ SASE Client ด้วย Multi-Factor Authentication (MFA) แบบ TOTP (Time-based One-Time Password) ผ่าน Authenticator App บนมือถือ บทความนี้ครอบคลุมทั้งวิธีเปิดใช้งาน OTP บน Account Platform-X (สำหรับ Admin) และวิธีการใช้งาน TOTP สำหรับ End User ที่ต้อง Login เข้า SASE Client (aTrust / Access Secure)

ข้อกำหนดเบื้องต้น (Prerequisites)

• มี Account Sangfor Platform-X / SASE ที่สามารถ Login ได้ปกติ
• อุปกรณ์ที่รองรับ TOTP (Smartphone หรือ Tablet)
• ติดตั้ง Authenticator Application บนมือถือ เช่น Google Authenticator, Microsoft Authenticator หรือ App ที่รองรับ TOTP มาตรฐาน RFC 6238
• โทรศัพท์มือถือต้องตั้งเวลาให้ถูกต้องตามเวลาจริง (Time Sync กับ Internet Time) เพื่อให้รหัส TOTP ตรงกับ Server
• Account ต้องเปิดใช้งาน TOTP-based Two-Factor Authentication (2FA) ที่ฝั่ง IDaaS / Platform-X แล้ว

ขั้นตอนการเปิดใช้งาน OTP Authentication บน Platform-X (สำหรับ Admin)

1. Login เข้า Sangfor Platform-X ที่ https://x.sangfor.com
2. คลิกที่ชื่อ Account ของท่านที่มุมขวาบน แล้วเลือก Corp Center
3. มองหาเมนู / ปุ่ม OTP Authentication แล้วคลิกเพื่อเปิดใช้งาน
4. ระบบจะแสดง QR Code สำหรับ Bind กับ Authenticator App
5. เปิด Authenticator App บนมือถือ เลือก Add Account > Scan QR Code แล้วสแกน QR Code ที่ปรากฏบนหน้า Platform-X
   • หาก Scan ไม่ติด ให้ขยายภาพ QR Code ให้เต็มจอแล้วนำมือถือเข้าใกล้
6. เมื่อ Scan สำเร็จ Account ใหม่ชื่อ Sangfor Platform-X จะปรากฏใน Authenticator App พร้อมแสดงรหัส 6 หลักที่หมุนเปลี่ยนทุก 30 วินาที
7. กรอกรหัส 6 หลักที่ App แสดงเข้าที่ช่อง Verification บน Platform-X เพื่อยืนยันการ Bind แล้วคลิก Save / Confirm

การ Login เข้า Platform-X เมื่อเปิด OTP แล้ว

1. ที่หน้า Login ของ Platform-X กรอก Username และ Password ตามปกติ
2. หลังจากผ่านการตรวจสอบรหัสผ่าน ระบบจะแสดงหน้าให้กรอก OTP Code
3. เปิด Authenticator App บนมือถือ ดูรหัส 6 หลักจาก Account "Sangfor Platform-X"
4. กรอกรหัสภายใน 30 วินาที แล้วคลิก Verify เพื่อเข้าสู่ Platform-X

การติดตั้ง TOTP Authenticator App (สำหรับ End User)

สำหรับผู้ใช้งานทั่วไปที่ต้อง Login เข้า SASE Client ด้วย TOTP ต้องติดตั้ง Authenticator App บนมือถือก่อน:

1. เปิด App Store (iOS) หรือ Google Play Store (Android)
2. ค้นหาคำว่า "Google Authenticator" หรือ "Microsoft Authenticator"
3. กด Install เพื่อดาวน์โหลดและติดตั้ง App

การ Scan QR Code และเพิ่มบัญชี SASE (First-time Setup)

ขั้นตอนนี้ทำเพียงครั้งเดียวเมื่อ Login เข้า SASE Client เป็นครั้งแรก:

1. เปิด SASE Client แล้วเลือก IDaaS Login Option ที่ถูกต้อง
2. กรอก Username และ Password แล้ว Login
3. เมื่อระบบแสดงหน้า TOTP ให้คลิก Enroll
4. เตรียม TOTP App ที่ติดตั้งไว้ (ตามขั้นตอน "การติดตั้ง TOTP Authenticator App") แล้วคลิก Next
5. ระบบจะแสดง QR Code บนหน้าจอ ให้เปิด Authenticator App แล้วกดปุ่ม "+" เพื่อเพิ่มบัญชีใหม่ จากนั้นเลือก Scan a QR code แล้วสแกน QR Code ที่หน้าจอ SASE Client
   • หาก Scan QR Code ไม่ติด ให้ดูหัวข้อ "การแก้ปัญหา TOTP ที่พบบ่อย" ด้านล่าง
6. เมื่อบัญชีถูกเพิ่มเรียบร้อย App จะสร้างรหัส 6 หลักที่เปลี่ยนทุก 30 วินาที
7. กลับมาที่หน้า SASE Client แล้วคลิก Next
8. กรอก Verification Code 6 หลักจาก App แล้วคลิก OK เพื่อยืนยัน Binding
9. เมื่อยืนยันสำเร็จ ท่านจะ Login เข้า SASE และสามารถเข้าใช้งาน Application ได้ตามปกติ

การใช้งาน TOTP สำหรับเข้าสู่ระบบ (Daily Login)

หลังจากที่ Bind TOTP สำเร็จแล้ว การ Login ในครั้งถัดไปจะใช้งานง่ายขึ้น:

1. เปิด SASE Client แล้วเลือก IDaaS Login Option ที่ถูกต้อง
2. กรอก Username และ Password แล้ว Login
3. เปิด Authenticator App บนมือถือ ดูรหัส 6 หลักจากบัญชี SASE / IDaaS ที่ Bind ไว้
4. กรอก Verification Code ลงในหน้าจอ SASE Client แล้วคลิก OK
5. เมื่อรหัสถูกต้อง ท่านจะ Login เข้า SASE และเข้าใช้งาน Application ได้ตามปกติ

การ Backup และ Recovery TOTP

TOTP ผูกกับอุปกรณ์ที่ใช้ติดตั้ง App หากทำมือถือหายหรือเปลี่ยนเครื่องโดยไม่ได้สำรองข้อมูลไว้ก่อน จะไม่สามารถ Login ได้ ดังนั้นแนะนำให้:

• เปิดใช้งาน Cloud Sync หาก Authenticator App รองรับ เช่น Google Authenticator มี Cloud Backup ผ่าน Google Account, Microsoft Authenticator มี Cloud Backup ผ่าน Microsoft Account ทำให้สามารถกู้คืนรหัส TOTP ได้เมื่อย้ายเครื่อง
• ตั้งค่า TOTP บนอุปกรณ์สำรอง (Secondary Device) โดยใช้ QR Code เดียวกัน Bind ทั้งสองเครื่อง เพื่อให้มี Backup กรณีอุปกรณ์หลักเสียหรือหาย
• เก็บ Manual Setup Key (Secret Key) ที่ระบบแสดงตอน Enroll ไว้ในที่ปลอดภัย เช่น Password Manager เพื่อใช้กู้คืนภายหลัง
• หากไม่ได้สำรองและสูญเสียอุปกรณ์ไปแล้ว ต้องติดต่อ Administrator เพื่อ Reset / Re-enroll TOTP ใหม่

การแก้ปัญหา TOTP ที่พบบ่อย (Troubleshooting)

1. ใส่รหัสแล้วขึ้น "Failed to verify" / Incorrect Code

• ตรวจสอบว่า เวลาบนมือถือ (Date & Time) ตั้งเป็น Auto / Network Time ให้ตรงกับเวลาจริง รหัส TOTP จะใช้ไม่ได้หากเวลาเครื่องคลาดเคลื่อนเกิน 30 วินาที
• กรณี First-time Binding: รหัสอาจหมดอายุ ให้คลิก Back เพื่อสร้าง QR Code ใหม่แล้ว Re-scan
• กรณี First-time Binding: หากเปิดหน้า QR Code ไว้หลาย Tab/Window พร้อมกัน ระบบอาจสับสน ให้ปิดให้เหลือเพียง Tab เดียวแล้ว Re-scan
• กรณี Daily Login: รหัสอาจหมดอายุระหว่างพิมพ์ ให้รอรหัสชุดใหม่จาก App แล้วกรอกใหม่
• ตรวจสอบให้แน่ใจว่า กำลังดูรหัสจากบัญชี SASE / IDaaS ที่ถูกต้อง ไม่ใช่บัญชีอื่นที่ Bind ไว้ใน App เดียวกัน

2. Scan QR Code ไม่ติด

• ขยายหน้าต่าง SASE Client ให้ QR Code มีขนาดใหญ่ขึ้น แล้วลอง Scan ใหม่
• คลิกลิงก์ "Can't scan the code?" ใต้ QR Code เพื่อแสดง Setup Key (Secret Key) แบบ Manual
• ใน Authenticator App เลือก Enter a setup key แล้วกรอก Key ที่ระบบแสดงเข้าไป (พร้อมตั้งชื่อบัญชี) เพื่อ Bind แบบ Manual แทน

3. ทำมือถือหาย / เปลี่ยนเครื่องโดยไม่ได้สำรอง

• ติดต่อ Administrator ของ Corp เพื่อขอ Reset TOTP Binding ในระบบ จากนั้นทำขั้นตอน First-time Setup ใหม่บนเครื่องใหม่

การตรวจสอบ (Verification)

หลังเปิด OTP / TOTP สำเร็จ ลอง Logout และ Login ใหม่ ระบบจะต้องขอรหัส OTP จาก Authenticator App ทุกครั้งหลังกรอก Password เพื่อยืนยันว่า MFA ทำงานปกติ

Security Best Practices

• ห้ามแชร์รหัส TOTP ให้กับผู้อื่น แม้แต่ทีม IT หรือ Admin (Sangfor และผู้ดูแลระบบจะไม่ขอรหัส OTP จากท่านโดยตรง)
• เปิด Cloud Backup ของ Authenticator App และตั้งรหัสป้องกันที่แข็งแรง เพื่อป้องกัน Account ถูกขโมย
• อัปเดต Authenticator App ให้เป็นเวอร์ชันล่าสุดเสมอ เพื่อรับ Patch ด้านความปลอดภัย
• ตั้งรหัสล็อกหน้าจอมือถือ (PIN / Face ID / Fingerprint) เพื่อป้องกันการเข้าถึง Authenticator App หากมือถือสูญหาย

หมายเหตุ (Notes)

• เก็บมือถือที่ใช้ Authenticator ให้ปลอดภัย หากทำมือถือหายจะไม่สามารถ Login ได้และต้องติดต่อ Admin/Support เพื่อ Reset MFA
• OTP Authentication เป็นการเสริมความปลอดภัยที่แนะนำอย่างยิ่ง โดยเฉพาะสำหรับ Main Admin ของ Corp
• หากต้องการเปลี่ยนมือถือ ให้ปิด OTP Authentication ก่อนแล้วค่อยเปิดใหม่บนมือถือเครื่องใหม่ (ขณะที่ยัง Login ค้างอยู่บนเครื่องเดิม) หรือใช้ Cloud Sync ของ Authenticator App ในการย้ายข้อมูล
• นอกจาก OTP ผ่าน Authenticator แล้ว Platform-X ยังบังคับใช้ OTP ผ่าน Email/SMS เป็น Default ทุกครั้งที่ Login เสมอ
• สำหรับการเข้าใช้งาน Platform-X ครั้งแรก โปรดดู การเข้าใช้งาน SaaS SASE บน Platform-X