Přeskočit obsah

Nastavení dvoufaktorového ověřování pomocí Google Authenticator

Vytvoření nového tokenu TOTP v konzole pro správu

Otevřete OTP Token Generator z účtu správce:

Přidejte nový token TOTP a vyberte TOTP (Google authenticator, FreeOTP, ...):

Poté nakonfigurujte svůj token TOTP:

  • Definujte název. Upozorňujeme, že tento název se uživateli zobrazí v aplikaci Google Authenticator, pokud je vybrána metoda registrace pomocí QR kódu.
  • Pole Expiration Time a Number of Digits závisí na generátoru TOTP. Pro Google Authenticator musí být tyto hodnoty nastaveny na 30 sekund, resp. 6 číslic.
  • Hodnota Key size (bits) je ve výchozím nastavení 32, což je doporučená hodnota, i když je možné nastavit také 16 nebo 64 bitů.

Klíče TOTP lze ukládat dvěma způsoby:

  1. (Doporučená metoda) Uložení klíče v CyberElements Bastion, lze použít 3 režimy fungování:

    1. Pokud zaškrtnete možnost Display a QR Code on the user portal, uživatel při prvním ověření obdrží QR kód, který naskenuje v aplikaci Google Authenticator, aby zaregistroval svůj TOTP. Poté bude muset zaregistrovaný TOTP potvrdit.
    2. Společně s předchozí možností nebo bez ní lze klíč TOTP odeslat uživateli e-mailem; uživatel pak bude muset provést ruční registraci:
    3. Pokud není aktivována žádná možnost, odpovídají za ruční import klíčů TOTP a jejich předání uživatelům správci.

    Příklad

    Zde je příklad konfigurace tokenu TOTP:

    V tomto příkladu bude tajný klíč uložen v CyberElements Bastion a při prvním přihlášení se uživateli zobrazí jako QR kód k naskenování v aplikaci Google Authenticator.

  2. Uložení klíče v atributu uživatele: bude nutné zadat název atributu (rozlišují se velká a malá písmena), který bude obsahovat klíč TOTP.

    Upozornění!

    Tuto metodu lze použít pouze pro uživatele, kteří patří do domény LDAP.

    Vzhledem k tomu, že CyberElements Bastion přistupuje k serveru LDAP pouze pro čtení, je navíc na správci, aby obsah nakonfigurovaného atributu vyplnil klíčem TOTP uživatele.
    Tuto metodu proto nelze kombinovat s možnostmi zobrazení klíče TOTP prostřednictvím QR kódu nebo odeslání klíče e-mailem.

Povolení TOTP v doméně ověřování

V doménách ověřování upravte doménu, pro kterou chcete povolit MFA typu TOTP:

Poté pro tuto doménu povolte MFA typu TOTP. Doba platnosti umožňuje určit, zda bude uživatel muset zadávat svůj TOTP při každém ověření (hodnota 0), nebo až po určitém počtu hodin či dní:

Ruční import klíčů TOTP

Klíč TOTP vychází ze standardu base 32 podle RFC3548.

Proto:

  • Podporovány jsou znaky definované v RFC3548: písmena od A do Z a číslice od 2 do 7
  • Klíč smí obsahovat pouze velká písmena
  • Klíč musí obsahovat 32 znaků (pokud je tak nakonfigurován v tokenu TOTP)

Příklad

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

Import vychází ze souboru CSV se dvěma sloupci:

1
user,key

První sloupec musí obsahovat uživatelské jméno a druhý sloupec přiřazený klíč TOTP.

Tip

Pokud je zadán prázdný klíč, klíč uživatele se resetuje a při příštím přihlášení se vygeneruje nový.

Příklad

Chcete-li získat přiřazení mezi uživatelem a následujícím klíčem TOTP (třetímu uživateli se klíč TOTP resetuje):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

Soubor CSV musí obsahovat: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

Po přípravě souboru CSV je nutné jej importovat pro konkrétní doménu a token TOTP: