Preskočiť na obsah

Nastavenie dvojfaktorového overovania pomocou Google Authenticator

Vytvorenie nového tokenu TOTP v konzole na správu

Otvorte OTP Token Generator z účtu správcu:

Pridajte nový token TOTP a vyberte TOTP (Google authenticator, FreeOTP, ...):

Potom nakonfigurujte svoj token TOTP:

  • Definujte názov. Upozorňujeme, že tento názov sa používateľovi zobrazí v Google Authenticator, ak je vybratá metóda registrácie pomocou kódu QR.
  • Polia Expiration Time a Number of Digits závisia od generátora TOTP. Pre Google Authenticator musia byť tieto hodnoty nastavené na 30 sekúnd a 6 číslic.
  • Hodnota Key size (bits) je predvolene nastavená na 32, čo je odporúčaná hodnota, hoci sú možné aj nastavenia 16 alebo 64 bitov.

Existujú dva spôsoby ukladania kľúčov TOTP:

  1. (Odporúčaná metóda) Ukladanie kľúča v CyberElements Bastion, pričom možno použiť 3 režimy prevádzky:

    1. Ak začiarknete možnosť Display a QR Code on the user portal, pri prvom overení sa používateľovi zobrazí kód QR, ktorý naskenuje v Google Authenticator, aby zaregistroval svoj TOTP. Potom bude musieť zaregistrovaný TOTP potvrdiť.
    2. V kombinácii s predchádzajúcou možnosťou alebo bez nej možno kľúč TOTP odoslať používateľovi e-mailom; ten potom bude musieť vykonať manuálnu registráciu:
    3. Ak nie je aktivovaná žiadna možnosť, za manuálny import kľúčov TOTP a ich odovzdanie používateľom zodpovedajú správcovia.

    Príklad

    Tu je príklad konfigurácie tokenu TOTP:

    V tomto príklade bude tajný kľúč uložený v CyberElements Bastion a zobrazí sa používateľovi pri prvom prihlásení vo forme kódu QR na naskenovanie v aplikácii Google Authenticator.

  2. Ukladanie kľúča v atribúte používateľa: budete musieť zadať názov atribútu (rozlišujú sa veľké a malé písmená), ktorý bude obsahovať kľúč TOTP.

    Upozornenie!

    Táto metóda je kompatibilná iba s používateľmi patriacimi do domény LDAP.

    Okrem toho, keďže prístup CyberElements Bastion k serveru LDAP je iba na čítanie, je na správcovi, aby vyplnil obsah nakonfigurovaného atribútu kľúčom TOTP používateľa.
    Túto metódu preto nemožno nakonfigurovať s možnosťami zobrazenia kľúča TOTP prostredníctvom kódu QR ani odoslania kľúča e-mailom.

Povolenie TOTP v doméne overovania

V doménach overovania upravte doménu, pre ktorú chcete povoliť MFA typu TOTP:

Potom pre túto doménu povoľte MFA typu TOTP. Čas vypršania platnosti umožňuje určiť, či bude používateľ musieť zadávať svoj TOTP pri každom overení (hodnota 0), alebo až po určitom počte hodín či dní:

Manuálny import kľúčov TOTP

Kľúč TOTP je založený na štandarde base 32 podľa RFC3548.

Preto:

  • Podporované znaky sú znaky z RFC3548: písmená od A po Z a číslice od 2 po 7
  • Kľúč smie obsahovať iba veľké písmená
  • Kľúč musí obsahovať 32 znakov (ak je tak nakonfigurovaný v tokene TOTP)

Príklad

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

Import je založený na súbore CSV s dvoma stĺpcami:

1
user,key

Prvý stĺpec musí obsahovať meno používateľa a druhý stĺpec príslušný kľúč TOTP.

Tip

Ak je zadaný prázdny kľúč, kľúč používateľa sa resetuje a pri jeho ďalšom prihlásení sa vygeneruje nový.

Príklad

Na vytvorenie priradenia medzi používateľom a nasledujúcim kľúčom TOTP (tretiemu používateľovi sa kľúč TOTP resetuje):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

Súbor CSV musí obsahovať: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

Po príprave súboru CSV ho treba importovať pre konkrétnu doménu a token TOTP: