硬件安全密钥登录不了别的门户？群晖密钥域绑定机制与三套多服务方案
痛点场景
公司 NAS 早就配好了硬件安全密钥，登录 DSM 一插一按一切正常。后来在服务器上陆续开了文件管理、监控等门户，问题来了：同一个门户新地址下，密钥插上去没反应，系统不认。管理员开始怀疑是密钥坏了、浏览器抽风，还是系统出了故障——反复重启、重插，都无济于事。
这不是故障。官方知识库对硬件安全密钥的登录限制有明确解释，核心一条就是：密钥与注册它的域是绑定的，换个域就不认。
官方口径：硬件安全密钥登录的三条限制
按官方知识库，使用硬件安全密钥登录要满足这些条件：
- **登录域必须与注册域相同。**在某个域上注册安全密钥后，该密钥便与这个特定域绑定，无法在其他域上使用，这是为了确保安全性而刻意设计的机制；
- **与安全密钥绑定的域必须拥有受信任的证书。**自签证书过不了这一关；
- 必须通过支持 WebAuthn 的浏览器和平台访问操作系统，兼容性随浏览器版本变化，拿不准就先升级浏览器再试。
想确认某把密钥绑在哪个域上，官方给出了查看路径：登录系统后前往个人 > 帐户 > 硬件安全密钥 > 管理，这里能看到安全密钥及其对应域的列表。密钥插了没反应时，先来这里核对绑定域，再核对你现在访问的地址，两相对照，多数"失灵"当场就能解释。
多服务要用同一把密钥：官方三套方案
公司实际部署里，往往不是一个地址打天下：文件管理一个入口、监控一个入口，域名还可能不止一个。官方知识库承认这个场景，并给出三套让安全密钥可用的方法。以文件服务 File Station 为例：
**方案一：自定义别名，挂在同一域的目录下。**为每项服务创建自定义别名，并附加到域的末尾。比如给 File Station 设置别名 filestation，它的入口门户就变成 sample.synology.com/filestation/ 这样位于域目录下的地址。在根地址注册的硬件安全密钥，可以直接用于这个服务。
**方案二：同一域名，不同端口。**把该域用作所有服务的入口门户，但为不同服务设置不同端口。比如给 File Station 分配端口 7001，入口就是 sample.synology.com:7001。同样，在根地址注册的密钥对此服务可用。
**方案三：自定义域加端口，逐服务绑定。**使用带 HTTPS 端口的自定义域（默认 5001，例如 filestation.synology.me:5001）转到系统桌面完成硬件安全密钥的初始设置，之后通过 filestation.synology.me 这样的地址使用密钥登录。采用此方法要确保 DSM 或 DSM Enterprise (PAS) 的端口未被阻止，并且需要分别为每项服务绑定安全密钥。
三套方案的选择逻辑很直白：能收敛到一个域下的，用别名或端口最省事；域名必须分开的，就走方案三，但要多做一步逐服务绑定。
临时切换登录方式
密钥一时用不了、又急着进系统时，不必卡死在密钥这一条路上。官方说明：在登录页面上单击尝试其他登录方法，然后切换到硬件安全密钥选项之外的方式即可先进门，事后再从容排查。
证书从哪来：两条官方认可路径
域绑定要求受信任证书，证书来源官方也给了口径：对于 DSM 和 DSM Enterprise (PAS)，可以使用通过创建证书签发请求（CSR）取得的证书；对于 DSM，还可以使用 Let’s Encrypt 的证书。CSR 的完整创建流程与本篇互为上下游，另文有详解。
运维视角：域规划要做在密钥之前
密钥域绑定带来的教训是：门户地址规划要先于安全密钥部署。别名怎么设、端口怎么分、要不要用独立域名，这些定下来之后再注册密钥，就不会出现"密钥注册在 A 域、业务跑在 B 域"的返工。贵州诚鑫致达科技给客户启用安全密钥登录时，多服务的域规划是验收清单里的固定一项——先把别名和端口方案敲定，密钥绑定一次到位。