如何在强制执行公钥认证的同时强制执行 2FA？

Question

我已经使用谷歌 2FA 一段时间了，它运行良好。除了基于 ssh 密钥的登录之外，我如何才能为某些用户强制使用 2AF？我访问的所有网站都解释了如何设置它，但结果是如果使用 ssh 密钥，它最终不需要 2FA。

我的目标是：

用户A：此账户没有特权。它已启用 ssh 密钥身份验证。无密码登录有效，无需 2FA 令牌。

用户 B：该帐户具有管理员权限（例如 sudo）。ssh 密钥身份验证已启用。我希望此用户也使用 2FA 令牌作为强制的第二种方法，以增加安全性。