Kihagyás

Kéttényezős hitelesítés beállítása a Google Authenticator segítségével

Új TOTP-token létrehozása a felügyeleti konzolban

Nyissa meg az „OTP Token Generator” elemet egy rendszergazdai fiókkal:

Adjon hozzá egy új TOTP-tokent, és válassza a TOTP (Google authenticator, FreeOTP, ...) lehetőséget:

Ezután konfigurálja a TOTP-tokent:

  • Adjon meg egy nevet. Vegye figyelembe, hogy ez a név megjelenik a felhasználónak a Google Authenticator alkalmazásban, ha a QR-kódos regisztrációs módszer van kiválasztva.
  • Az Expiration Time és a Number of Digits mező a TOTP-generátortól függ. A Google Authenticator esetében ezeket az értékeket 30 másodpercre, illetve 6 számjegyre kell beállítani.
  • A Key size (bits) alapértelmezett értéke 32, ez az ajánlott érték, de 16 vagy 64 bites beállítás is lehetséges.

A TOTP-kulcsok tárolására két módszer létezik:

  1. (Ajánlott módszer) Kulcstárolás a CyberElements Bastion termékben; 3 működési mód használható:

    1. Ha bejelöli a Display a QR Code on the user portal beállítást, a felhasználó az első hitelesítésekor kap egy QR-kódot, amelyet a Google Authenticator alkalmazással kell beolvasnia a TOTP regisztrálásához. Ezután meg kell erősítenie a regisztrált TOTP-t.
    2. Az előző beállítással együtt vagy anélkül a TOTP-kulcs e-mailben is elküldhető a felhasználónak, akinek ezután manuális regisztrációt kell végeznie:
    3. Ha egyik beállítás sincs bekapcsolva, a TOTP-kulcsok manuális importálása és a felhasználókkal való közlése a rendszergazdák felelőssége.

    Példa

    Az alábbiakban egy TOTP-token konfigurációjára láthat példát:

    Ebben a példában a titkos kód a CyberElements Bastion termékben lesz tárolva, és a felhasználó első bejelentkezésekor egy QR-kód formájában jelenik meg, amelyet a Google Authenticator alkalmazásban kell beolvasnia.

  2. A kulcs tárolása egy felhasználói attribútumban: meg kell adnia annak az attribútumnak a nevét (kis- és nagybetű-érzékeny), amely a TOTP-kulcsot tartalmazza.

    Figyelem!

    Ez a módszer csak LDAP-tartományhoz tartozó felhasználók esetén használható.

    Továbbá, mivel a CyberElements Bastion csak olvasási hozzáféréssel rendelkezik az LDAP-kiszolgálóhoz, a rendszergazda feladata, hogy a konfigurált attribútum tartalmát kitöltse a felhasználó TOTP-kulcsával.
    Ez a módszer ezért nem konfigurálható a TOTP-kulcs QR-kóddal történő megjelenítésére vagy a kulcs e-mailben történő elküldésére szolgáló beállításokkal.

A TOTP bekapcsolása egy hitelesítési tartományon

A hitelesítési tartományok között szerkessze azt a tartományt, amelyhez a TOTP MFA-t be szeretné kapcsolni:

Ezután kapcsolja be a TOTP MFA-t ehhez a tartományhoz. A lejárati idővel megadhatja, hogy a felhasználónak minden hitelesítéskor (0 érték), vagy csak bizonyos számú óra vagy nap elteltével kell-e megadnia a TOTP-t:

TOTP-kulcsok manuális importálása

A TOTP-kulcs az RFC3548 szerinti base 32 szabványon alapul.

Ezért:

  • A támogatott karakterek az RFC3548 szerintiek: az A–Z közötti betűk és a 2–7 közötti számjegyek
  • A kulcs csak nagybetűket tartalmazhat
  • A kulcsnak 32 karakterből kell állnia (ha a TOTP-token így van konfigurálva)

Példa

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

Az importálás egy kétoszlopos CSV-fájl alapján történik:

1
user,key

Az első oszlopnak a felhasználó nevét, a második oszlopnak a hozzá tartozó TOTP-kulcsot kell tartalmaznia.

Tipp

Ha üres kulcsot ad meg, a felhasználó kulcsa alaphelyzetbe áll, és a következő bejelentkezéskor új kulcs jön létre.

Példa

A felhasználó és a következő TOTP-kulcs közötti társítás eléréséhez (a harmadik felhasználó TOTP-kulcsa alaphelyzetbe áll):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

A CSV-fájlnak a következőket kell tartalmaznia: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

A CSV-fájl elkészítése után azt egy adott tartományhoz és TOTP-tokenhez kell importálni: