Mitmikautentimise seadistamine¶
Mitmikautentimine (MFA) küsib kasutajalt lisaks kasutajatunnusele ja paroolile teist tõendit. CyberElements pakub selle saamiseks mitut võimalust. See leht käsitleb neist nelja selles järjekorras, milles neid tavaliselt kaalutakse, ning kirjeldab seejärel üksikasjalikult seda, millel pole oma integratsioonilehte: e-posti teel saadetavat ühekordset parooli.
Neli tegurit, mitte kogu pilt
Need neli on need, mida see leht käsitleb — need pole ainsad teised tegurid, mida platvorm saab nõuda. Saadaval on ka järgmised, mis jäävad selle lehe käsitlusalast välja:
- SMS-iga saadetav OTP, mis saadetakse ühe mooduli OTP Token Generators pakutava arvuka operaatori kaudu;
- Radius-konnektor kolmanda osapoole MFA-lahenduse suunas, sama mooduli tüübi OTP - Radius kaudu;
- x509-sertifikaadiga autentimine, mis pole token, vaid domeeni enda autentimismeetod — User certificate või User certificate and form, et säilitada ka parool;
- SAML-pakkuja või mis tahes muu delegeeritud autentimise poolt platvormist eespool jõustatud MFA. Teist tegurit nõutakse siis enne, kui platvorm protsessi kaasatakse, ning platvorm ei konfigureeri ega näe seda.
MFA määratakse identiteedipakkujale, mitte kunagi kasutajale
Ükskõik millise teguri valite, lülitatakse see sisse identiteedipakkujas ja see kehtib kõigile kasutajatele, kes selle kaudu sisse logivad. Kasutajapõhist sätet pole: kui soovite MFA-d rakendada ainult osale kasutajatest, paigutage need kasutajad eraldi identiteedipakkuja taha.
Teguri valimine¶
| Tegur | Mida kasutaja teeb | Mida see nõuab | Protseduur |
|---|---|---|---|
| Neomia Pulse | Mitte midagi. Kasutaja tuvastatakse selle järgi, kuidas ta klaviatuuril tipib. | Suvand Neomia Pulse, identiteedipakkuja tüübiga local või LDAP ja teine tegur sellest tabelist samas pakkujas. |
Neomia Pulse integreerimine |
| FIDO2 | Esitab oma autentija — ühendab turvavõtme või kinnitab toimingu seadmes või seifis, kus pääsuvõti asub — ning sisestab seejärel PIN-koodi, kui autentija seda küsib. | Üks FIDO2-autentija kasutaja kohta, konsoolis määratletud relying party ja isiklik konto — anonüümne identiteedipakkuja on välistatud. | Yubico integreerimine |
| TOTP | Loeb autentimisrakendusest kuuekohalise koodi. | Rakendus kasutaja telefonis või tööjaamas (Google Authenticator, FreeOTP, Microsoft Authenticator jne) ja üks registreerimine kasutaja kohta. | Google Authenticatori integreerimine |
| OTP e-posti teel | Kopeerib e-postiga saadud koodi. | SMTP-server, millele platvorm juurde pääseb, ja kasutaja atribuudis talletatud e-posti aadress. | E-posti teel saadetava OTP seadistamine |
Neomia Pulse konfigureeritakse teise teguri peale
Neomia Pulse funktsiooni sisselülitamiseks peab samas domeenis olema sisse lülitatud teine MFA. Seejärel määravad selle sätted, milleks seda teist tegurit kasutatakse: selle saab vahele jätta, kui Pulse kasutaja kinnitab, ja seda nõutakse, kui Pulse seda ei tee. Seega on Neomia Pulse viis teist tegurit säästa, mitte seda asendada.
Kus iga tegur määratletakse ja kus see sisse lülitatakse¶
Konfigureerimisel on kaks võimalikku etappi — teguri määratlemine oma moodulis ja seejärel selle sisselülitamine identiteedipakkujas —, kuid neljast kaks jätavad ühe neist vahele:
| Tegur | Kus määratletakse | Sisselülitamine identiteedipakkujas |
|---|---|---|
| Neomia Pulse | pole midagi määratleda | ✅ suvand Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ pole midagi sisse lülitada — vaadake allolevat märkust |
| TOTP | OTP Token Generators | ✅ autentimistokenina |
| OTP e-posti teel | SMTP-server, seejärel OTP Token Generators | ✅ autentimistokenina |
FIDO2-l pole identiteedipakkujas lülitit
Turvavõtmeid ei lülitata sisse domeenide kaupa: platvorm pakub seda tegurit niipea, kui vähemalt üks relying party on määratletud, igas identiteedipakkujas, mis pole anonüümne — võti peab olema seotud isikliku kontoga. Ning oma autentija registreerib portaalis kasutaja ise, mitte administraator ei määra seda talle.
Neomia Pulse funktsiooni puhul pole midagi eelnevalt määratleda
Pulse pole moodulis loodav token: suvand lülitatakse sisse otse identiteedipakkujas, kus määratakse ka selle käitumine.
Selle lehe ülejäänud osa käsitleb e-posti teel saadetavat OTP-d algusest lõpuni. Ülejäänud kolme tegurit käsitletakse nende integratsioonilehtedel, mille lingid on ülaltoodud tabelis.
E-posti teel saadetava OTP seadistamine¶
E-posti teel saadetav OTP saadab kasutajale e-posti teel ühekordse koodi pärast seda, kui tema kasutajatunnus ja parool on aktsepteeritud. Sisselogimise lõpuleviimiseks sisestab kasutaja selle koodi portaalis.
Enne alustamist: mida e-posti teel saadetav OTP tegelikult kaitseb¶
E-posti teel saadetav OTP ei lisa alati tegurit
Lugege seda enne, kui valite selle teguri ülejäänud kolme asemel.
Kui kasutaja logib sisse oma Active Directory kontoga ja võtab koodi postkastist, mis on seotud sellesama kontoga, ei lisa teine tegur peaaegu midagi: ründaja, kes on mandaadi kätte saanud, avab postkasti just sellesama mandaadiga ja loeb koodi.
E-posti teel saadetavat OTP-d tasub juurutada siis, kui postkastile ei pääse juurde kontrollitava mandaadiga, see tähendab, kui:
- kasutaja logib sisse kohaliku kontoga või kontoga, mis erineb tema postkastist;
- kood saadetakse muule aadressile kui sisselogimiskontole kuuluvale.
Samm 1 — Hoolitsege, et SMTP-server oleks saadaval¶
Platvorm saadab koodi SMTP-serveri kaudu, mis on määratletud moodulis SMTP servers. Kui ühtegi pole veel saadaval, määratlege see enne jätkamist:
Seejärel kasutage selle mooduli plokki SMTP configuration test, et kinnitada kohaletoimetamist: selles etapis tuvastatud nurjumine on nurjumine, mida te ei pea hiljem sisselogimisvoost otsima.
Testkiri ei kasuta saatjat, mille te konfigureerite
Test saadetakse aadressilt noreply@cleanroom.com, mis on tootesse kirjutatud: seda ei saa kusagil muuta ja see on ühtlasi vastusaadress. Teie enda saatja on tokeni säte SMTP sender, mis määratakse sammus 2 — seda kasutavad tegelikud OTP-kirjad.
Selle tagajärge tasub teada enne järelduste tegemist: saatja aadresse piirav SMTP-server võib testi tagasi lükata, kuid tegelikud kirjad läbi lasta, ja vastupidi.
Ühenduse avab platvorm
Andmevoog SMTP-serverisse lähtub platvormilt, mitte kasutaja tööjaamast. Kui teie SMTP-server asub teie kohtvõrgus, peab see andmevoog olema lubatud.
Samm 2 — Looge OTP-token¶
Avage moodul OTP Token Generators ja klõpsake nuppu +. Valige aknas Add OTP token tüüp OTP - email ja seejärel täitke väljad.
| Väli | Mida sisestada |
|---|---|
| OTP Type | OTP - email. Seda valikut ei saa hiljem muuta — teine kanal tähendab teist tokenit. |
| Name | Tokeni nimi. See kuvatakse kasutajale portaalis, seega peaks see mõjuma teguri nimena, mitte sisemise viitena. |
| Description | Vabatekst, mis on nähtav ainult administraatoritele. |
| OTP usable characters | Tähestik, millest kood moodustatakse. |
| OTP Length | Koodi märkide arv. |
| Validity period of a token (seconds) | Kui kaua on kasutajal aega koodi sisestamiseks, enne kui see tagasi lükatakse. |
| Message before the OTP | Lause, mis eelneb koodile kirja sisus. |
| Mail subject | Kirja teema. |
| SMTP sender | Kirja saatja aadress. |
| SMTP server | Sammus 1 määratletud server. |
Väljade täielik loend koos vaikeväärtuste ja piirangutega on viitelehel: Üldine plokk ja E-posti teel edastamine.
Tokeni salvestamiseks klõpsake nuppu Validate.
Samm 3 — Lülitage token identiteedipakkujas sisse¶
Avage moodul Identity Providers ja redigeerige pakkujat, mis peab OTP-d nõudma.
| Väli | Mida sisestada |
|---|---|
| Authentication token | Sammus 2 loodud token. Valida saab mitu tokenit. |
| User attribute used to send the OTP | Selle kasutajaatribuudi nimi, mis sisaldab aadressi, kuhu kood saadetakse. |
| Token expiration duration | Kui kaua kinnitatud OTP aktsepteeritakse, enne kui seda uuesti nõutakse. 0 lülitab aegumise välja, mis tähendab, et OTP-d nõutakse iga sisselogimise korral. |
| Time unit | Hours või Days, rakendatakse eelmisele väljale. |
| Expiration starts | Kas loendus algab viimasest OTP kinnitamisest või viimasest edukast sisselogimisest. |
Milline atribuut sisaldab aadressi
Atribuut on selle kataloogi atribuut, millele identiteedipakkuja osutab, mitte meie valitud nimi: kasutage atribuuti, milles teie kasutajatel tegelikult aadress on. Kohaliku kataloogi puhul tuleb sihtida kasutaja omadustesse sisestatud aadressi; LDAP-kataloogi puhul on see kataloogi enda e-posti atribuut.
Klõpsake nuppu Validate. Selle identiteedipakkuja kasutajatelt küsitakse järgmisel sisselogimisel koodi.
Samm 4 — Kontrollige esmalt testimiseks loodud identiteedipakkujas¶
MFA sisselülitamine identiteedipakkujas rakendab seda kõigile selle taga olevatele kasutajatele, sealhulgas teile endale, kui logite sisse selle kaudu. Enne tokeni sisselülitamist tootmiskeskkonna pakkujas looge testimiseks identiteedipakkuja, millel on üks konto, ja tehke selle kaudu täielik sisselogimine: kasutajatunnus, parool, kirja vastuvõtmine, koodi sisestamine.
Aadressita kasutaja ei saa kunagi koodi
Kasutajale, kelle atribuut on tühi, ei saa midagi saata ja tema sisselogimine ei saa lõpule jõuda. Kontrollige, et atribuut oleks täidetud iga identiteedipakkuja taga oleva konto puhul, enne kui lülitate tokeni selles sisse.