关于Tailscale结合Google Workspace为SSH连接配置双因素认证的技术问询

1. 配置每24小时触发Google双因素认证 #

可以实现，需在Google Workspace和Tailscale两端配合配置：

• Google Workspace端：在Admin控制台找到Tailscale对应的SAML应用，进入会话设置，将会话过期时间设为24小时。用户的Google身份会话每24小时失效后，重新通过Tailscale认证时必须再次完成双因素验证。
• Tailscale端：在管理控制台的Access Controls策略中，设置maxSessionAge为24h，强制Tailscale会话每24小时重新认证，触发Google的MFA校验。

2. Google Workspace支持按应用设置安全规则 #

完全支持。通过Google Admin控制台的「应用访问控制」功能，可针对Tailscale这类特定应用单独配置高等级安全策略：

• 强制该应用每次登录必须完成双因素认证；
• 设置会话超时时间、IP访问限制；
• 配置条件访问规则（比如仅允许企业内网IP访问Tailscale）；
• 限制用户设备类型（仅允许合规设备访问）。
  这些规则仅作用于指定应用，不会影响Docs、邮件等常规服务的安全策略。

3. Tailscale SSH与google-authenticator PAM模块的兼容性 #

你的判断有误，二者是可以兼容的，问题通常出在配置步骤缺失：

1. 在Tailscale节点上启用PAM认证：启动Tailscale时添加--ssh-auth-pam参数，或在配置文件中设置ssh-auth-pam: true；
2. 服务器端配置PAM：编辑/etc/pam.d/sshd或对应Tailscale SSH的PAM配置文件，将google-authenticator模块加入认证链；
3. 在Tailscale的Access Controls策略中，开启ssh规则下的authPAM: true，允许使用PAM进行二次认证。
   完成以上配置后，用户通过Tailscale SSH登录时，会被要求输入google-authenticator生成的验证码。

内容的提问来源于stack exchange，提问作者Mikko Ohtamaa