Към съдържанието

Настройване на двуфакторно удостоверяване с Google Authenticator

Създаване на нов маркер TOTP в административната конзола

Отворете „OTP Token Generator“ от администраторски акаунт:

Добавете нов маркер TOTP и изберете TOTP (Google authenticator, FreeOTP, ...):

След това конфигурирайте вашия маркер TOTP:

  • Задайте име. Имайте предвид, че това име ще се показва на потребителя в Google Authenticator, ако е избран методът за регистриране чрез QR код.
  • Полетата Expiration Time и Number of Digits зависят от генератора на TOTP. За Google Authenticator тези стойности трябва да бъдат зададени съответно на 30 секунди и 6 цифри.
  • Полето Key size (bits) е зададено на 32 по подразбиране, което е препоръчителната стойност, въпреки че са възможни и настройки от 16 или 64 бита.

Има два метода за съхранение на ключовете TOTP:

  1. (Препоръчителен метод) Съхраняване на ключа в CyberElements Bastion, като могат да се използват 3 режима на работа:

    1. Ако поставите отметка на опцията Display a QR Code on the user portal, при първото удостоверяване на потребителя ще бъде предоставен QR код за сканиране с Google Authenticator, за да регистрира своя TOTP. След това потребителят ще трябва да потвърди регистрирания TOTP.
    2. В комбинация с предходната опция или без нея ключът TOTP може да бъде изпратен по имейл на потребителя, който след това ще трябва да извърши ръчно регистриране:
    3. Ако не е активирана нито една опция, администраторите отговарят за ръчното импортиране на ключовете TOTP и за предоставянето им на потребителите.

    Пример

    Ето пример за конфигурация на маркер TOTP:

    В този пример тайният ключ ще се съхранява в CyberElements Bastion и ще бъде показан на потребителя при първото му влизане като QR код, който да сканира в Google Authenticator.

  2. Съхранение на ключа в атрибут на потребителя: ще трябва да посочите името на атрибута (с отчитане на малки и главни букви), който ще съдържа ключа TOTP.

    Предупреждение!

    Този метод е съвместим само с потребители, принадлежащи към LDAP домейн.

    Освен това, тъй като достъпът на CyberElements Bastion до LDAP сървъра е само за четене, администраторът трябва да попълни съдържанието на конфигурирания атрибут с TOTP ключа на потребителя.
    Следователно този метод не може да бъде конфигуриран с опциите за показване на ключа TOTP чрез QR код или за изпращане на ключа по имейл.

Активиране на TOTP за домейн за удостоверяване

В домейните за удостоверяване редактирайте домейна, за който искате да активирате MFA с TOTP:

След това активирайте MFA с TOTP за този домейн. Времето на изтичане ви позволява да определите дали потребителят ще трябва да въвежда своя TOTP при всяко удостоверяване (стойност 0), или едва след определен брой часове или дни:

Ръчно импортиране на ключове TOTP

Ключът TOTP се основава на стандарта base 32 от RFC3548.

Следователно:

  • Поддържаните знаци са тези от RFC3548: букви от A до Z и цифри от 2 до 7
  • Ключът трябва да съдържа само главни букви
  • Ключът трябва да съдържа 32 знака (ако маркерът TOTP е конфигуриран по този начин)

Пример

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

Импортирането се основава на CSV файл с две колони:

1
user,key

Първата колона трябва да съдържа името на потребителя, а втората колона — съответния ключ TOTP.

Съвет

Ако е посочен празен ключ, ключът на потребителя ще бъде нулиран и при следващото му влизане ще бъде генериран нов.

Пример

За да получите връзката между потребителя и следния ключ TOTP (на третия потребител ключът TOTP се нулира):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

CSV файлът трябва да съдържа: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

След като CSV файлът бъде подготвен, той трябва да бъде импортиран за конкретен домейн и маркер TOTP: