Não sai com 2FA configurado — o próprio operador faz o enrollment no primeiro acesso.
Pra — não pede a senha atual dele, use só quando ele não conseguir logar sozinho.