Ikkonfigura l-awtentikazzjoni b’diversi fatturi¶
L-awtentikazzjoni b’diversi fatturi (MFA) titlob lill-utent it-tieni prova minbarra l-identifikatur u l-password tiegħu. CyberElements joffri diversi modi biex tinkiseb waħda. Din il-paġna tkopri erbgħa minnhom, fl-ordni li fiha normalment jiġu kkunsidrati, imbagħad tagħti d-dettalji ta’ dak li m’għandux paġna ta’ integrazzjoni tiegħu: il-password ta’ użu wieħed mibgħuta bl-imejl.
Erba’ fatturi, mhux l-istampa kollha
Dawn l-erbgħa huma dawk li tispjega din il-paġna — mhumiex l-uniċi fatturi sekondarji li l-pjattaforma tista’ titlob. Disponibbli wkoll, u barra mill-ambitu ta’ din il-paġna:
- OTP mibgħut bl-SMS, permezz ta’ wieħed mill-ħafna operaturi offruti mill-modulu OTP Token Generators;
- konnettur Radius lejn soluzzjoni MFA ta’ parti terza, permezz tat-tip OTP - Radius tal-istess modulu;
- awtentikazzjoni b’ċertifikat x509, li mhijiex token iżda metodu ta’ awtentikazzjoni tad-dominju nnifsu — User certificate, jew User certificate and form biex tinżamm ukoll il-password;
- MFA imposta fil-livell ta’ dħul minn fornitur SAML, jew minn kwalunkwe awtentikazzjoni delegata oħra. It-tieni fattur imbagħad jintalab qabel ma tidħol fix-xena l-pjattaforma, li la tikkonfigurah u lanqas tarah.
L-MFA tiġi ssettjata fuq il-fornitur tal-identità, qatt fuq utent
Ikun liema jkun il-fattur li tagħżel, jiġi attivat fuq fornitur tal-identità u japplika għal kull utent li jidħol permezz tiegħu. M’hemm l-ebda setting għal kull utent: biex tissoġġetta biss parti mill-popolazzjoni tiegħek għall-MFA, poġġi lil dawk l-utenti wara fornitur tal-identità dedikat.
Għażla ta’ fattur¶
| Fattur | X’jagħmel l-utent | X’jeħtieġ | Proċedura |
|---|---|---|---|
| Neomia Pulse | Xejn. L-utent jiġi rikonoxxut mill-mod kif jittajpja fuq it-tastiera tiegħu. | L-għażla Neomia Pulse, fornitur tal-identità tat-tip local jew LDAP, u t-tieni fattur minn din it-tabella fuq l-istess fornitur. |
Integrazzjoni ta’ Neomia Pulse |
| FIDO2 | Jippreżenta l-awtentikatur tiegħu — billi jdaħħal ċavetta tas-sigurtà, jew billi japprova fuq it-tagħmir jew il-kaxxaforti li fiha l-passkey — imbagħad idaħħal PIN jekk l-awtentikatur jitlob wieħed. | Awtentikatur FIDO2 għal kull utent, relying party iddikjarata fil-konsol, u kont personali — fornitur tal-identità anonimu huwa eskluż. | Integrazzjoni ta’ Yubico |
| TOTP | Jaqra kodiċi ta’ sitt ċifri f’applikazzjoni ta’ awtentikazzjoni. | Applikazzjoni fuq it-telefon jew fuq l-istazzjon tax-xogħol tal-utent (Google Authenticator, FreeOTP, Microsoft Authenticator, eċċ.) u rreġistrar wieħed għal kull utent. | Integrazzjoni ta’ Google Authenticator |
| OTP bl-imejl | Jikkopja kodiċi riċevut bl-imejl. | Server SMTP li l-pjattaforma tista’ tilħaq u indirizz tal-imejl miżmum f’attribut tal-utent. | Konfigurazzjoni ta’ OTP bl-imejl |
Neomia Pulse jiġi kkonfigurat fuq fattur ieħor
L-attivazzjoni ta’ Neomia Pulse teħtieġ li MFA oħra tkun attivata fuq l-istess dominju. Is-settings tiegħu mbagħad jiddeċiedu għal xiex jintuża dak il-fattur l-ieħor: jista’ jiġi maqbuż meta Pulse jivvalida l-utent, u meħtieġ meta Pulse ma jivvalidahx. Għalhekk, Neomia Pulse huwa mod biex jiġi evitat it-tieni fattur aktar milli biex jiġi sostitwit.
Fejn jiġi ddikjarat kull fattur, u fejn jiġi attivat¶
Il-konfigurazzjoni għandha żewġ stadji possibbli — id-dikjarazzjoni tal-fattur fil-modulu tiegħu, imbagħad l-attivazzjoni tiegħu fuq il-fornitur tal-identità — iżda tnejn mill-erbgħa jaqbżu wieħed minnhom:
| Fattur | Iddikjarat fi | Attivat fuq il-fornitur tal-identità |
|---|---|---|
| Neomia Pulse | xejn x’tiddikjara | ✅ l-għażla Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ xejn x’tattiva — ara n-nota hawn taħt |
| TOTP | OTP Token Generators | ✅ bħala token tal-awtentikazzjoni |
| OTP bl-imejl | server SMTP, imbagħad OTP Token Generators | ✅ bħala token tal-awtentikazzjoni |
FIDO2 m’għandux swiċċ fuq il-fornitur tal-identità
Iċ-ċwievet tas-sigurtà ma jiġux attivati dominju b’dominju: il-pjattaforma toffri l-fattur hekk kif tiġi ddikjarata mill-inqas relying party waħda, fuq kull fornitur tal-identità li mhuwiex anonimu — ċavetta trid tkun marbuta ma’ kont personali. U huwa l-utent li jirreġistra l-awtentikatur tiegħu mill-portal, mhux l-amministratur li jassenjah.
Għal Neomia Pulse m’hemm xejn x’tiddikjara minn qabel
Pulse mhuwiex token li jrid jinħoloq f’modulu: l-għażla tiġi attivata direttament fuq il-fornitur tal-identità, li huwa wkoll fejn tiġi ssettjata l-imġiba tiegħu.
Il-bqija ta’ din il-paġna tkopri l-OTP bl-imejl mill-bidu sal-aħħar. It-tliet fatturi l-oħra huma koperti mill-paġna ta’ integrazzjoni tagħhom, marbuta fit-tabella ta’ hawn fuq.
Konfigurazzjoni ta’ OTP bl-imejl¶
OTP bl-imejl jibgħat lill-utent kodiċi ta’ użu wieħed bl-imejl ladarba l-identifikatur u l-password tiegħu jkunu ġew aċċettati. L-utent idaħħal dak il-kodiċi fuq il-portal biex itemm id-dħul.
Qabel ma tibda: x’jipproteġi verament OTP bl-imejl¶
OTP bl-imejl mhux dejjem iżid fattur
Aqra dan qabel ma tagħżel dan il-fattur minflok it-tliet oħrajn.
Jekk l-utent jidħol bil-kont Active Directory tiegħu u jiġbor il-kodiċi minn kaxxa tal-posta marbuta ma’ dak l-istess kont, it-tieni fattur iżid kważi xejn: attakkant li kiseb il-kredenzjali jiftaħ il-kaxxa tal-posta b’dawk l-istess kredenzjali u jaqra l-kodiċi.
OTP bl-imejl jiswa li jiġi skjerat meta il-kaxxa tal-posta ma tistax tintlaħaq bil-kredenzjali li qed jiġu vverifikati, jiġifieri meta:
- l-utent jidħol b’kont lokali, jew b’kont distint mill-kaxxa tal-posta tiegħu;
- il-kodiċi jintbagħat lil indirizz differenti minn dak li jappartjeni lill-kont tad-dħul.
Pass 1 — Kun żgur li għandek server SMTP disponibbli¶
Il-kodiċi jintbagħat mill-pjattaforma permezz ta’ server SMTP iddikjarat fil-modulu SMTP servers. Jekk għad m’hemm l-ebda wieħed disponibbli, iddikjara wieħed qabel ma tkompli:
Ikkonfigura l-bgħit tal-imejls
Imbagħad uża l-blokk SMTP configuration test ta’ dak il-modulu biex tikkonferma l-kunsinna: falliment iddijanjostikat f’dan l-istadju huwa falliment li ma jkollokx għalfejn tfittxu aktar tard fil-fluss tad-dħul.
Il-messaġġ tat-test ma jużax il-mittent li se tikkonfigura
It-test jibgħat minn noreply@cleanroom.com, indirizz miktub fil-prodott: ma jista’ jinbidel imkien, u jservi wkoll bħala l-indirizz ta’ risposta. Il-mittent tiegħek huwa l-SMTP sender tat-token, issettjat fil-pass 2 — huwa dak li jġorru l-messaġġi OTP reali.
Il-konsegwenza tajjeb li tkun magħrufa qabel ma tasal għal konklużjoni: server SMTP li jirrestrinġi l-indirizzi tal-bgħit jista’ jirrifjuta t-test filwaqt li jħalli jgħaddu l-messaġġi reali, u viċi versa.
Il-konnessjoni tinfetaħ mill-pjattaforma
Il-fluss lejn is-server SMTP joħroġ mill-pjattaforma, mhux mill-istazzjon tax-xogħol tal-utent. Jekk is-server SMTP tiegħek jinsab fuq il-LAN tiegħek, dak il-fluss irid jiġi ppermettut.
Pass 2 — Oħloq it-token OTP¶
Iftaħ il-modulu OTP Token Generators u kklikkja +. Fit-tieqa Add OTP token, agħżel it-tip OTP - email, imbagħad imla l-oqsma.
| Qasam | X’għandek iddaħħal |
|---|---|
| OTP Type | OTP - email. Din l-għażla ma tistax tinbidel wara — kanal differenti jfisser token differenti. |
| Name | L-isem tat-token. Jintwera lill-utent fuq il-portal, għalhekk għandu jinqara bħala isem ta’ fattur u mhux bħala referenza interna. |
| Description | Test liberu, viżibbli għall-amministraturi biss. |
| OTP usable characters | L-alfabett li minnu jinħareġ il-kodiċi. |
| OTP Length | L-għadd ta’ karattri fil-kodiċi. |
| Validity period of a token (seconds) | Kemm għandu żmien l-utent biex idaħħal il-kodiċi qabel ma jiġi rifjutat. |
| Message before the OTP | Is-sentenza li tippreċedi l-kodiċi fil-korp tal-messaġġ. |
| Mail subject | Is-suġġett tal-messaġġ. |
| SMTP sender | L-indirizz tal-mittent tal-messaġġ. |
| SMTP server | Is-server iddikjarat fil-pass 1. |
Il-lista sħiħa tal-oqsma, bil-valuri default u r-restrizzjonijiet tagħhom, tinsab fil-paġna ta’ referenza: Blokk ġeneriku u Kunsinna bl-imejl.
Ikklikkja Validate biex tissejvja t-token.
Pass 3 — Attiva t-token fuq fornitur tal-identità¶
Iftaħ il-modulu Identity Providers u editja l-fornitur li għandu jitlob l-OTP.
| Qasam | X’għandek iddaħħal |
|---|---|
| Authentication token | It-token maħluq fil-pass 2. Jistgħu jintgħażlu diversi tokens. |
| User attribute used to send the OTP | L-isem tal-attribut tal-utent li fih l-indirizz li lilu jintbagħat il-kodiċi. |
| Token expiration duration | Kemm jibqa’ aċċettat OTP ivvalidat qabel ma jerġa’ jintalab. 0 jiddiżattiva l-iskadenza, li jfisser li l-OTP jintalab f’kull dħul. |
| Time unit | Hours jew Days, applikati għall-qasam ta’ qabel. |
| Expiration starts | Jekk l-għadd invers jibda mill-aħħar validazzjoni tal-OTP jew mill-aħħar dħul li rnexxa. |
Liema attribut fih l-indirizz
L-attribut huwa dak tad-direttorju li lejh jipponta l-fornitur tal-identità, mhux isem magħżul minna: uża l-attribut li fih l-utenti tiegħek verament għandhom indirizz. Għal direttorju lokali, l-indirizz imdaħħal fil-proprjetajiet tal-utent huwa dak li għandek timmira; għal direttorju LDAP, huwa l-attribut tal-posta tad-direttorju nnifsu.
Ikklikkja Validate. L-utenti ta’ dak il-fornitur tal-identità jintalbu kodiċi fid-dħul li jmiss tagħhom.
Pass 4 — Iċċekkja l-ewwel fuq fornitur tal-identità tat-test¶
L-attivazzjoni tal-MFA fuq fornitur tal-identità tapplikaha għal kull utent warajh, inkluż int stess jekk tidħol permezz tiegħu. Qabel ma tattiva t-token fuq il-fornitur tal-produzzjoni tiegħek, oħloq fornitur tal-identità tat-test b’kont wieħed biss u wettaq dħul sħiħ permezz tiegħu: identifikatur, password, riċezzjoni tal-messaġġ, tidħil tal-kodiċi.
Utent mingħajr indirizz qatt ma jirċievi kodiċi
Lil utent li l-attribut tiegħu huwa vojt ma jista’ jintbagħatlu xejn, u d-dħul tiegħu ma jistax jitlesta. Iċċekkja li l-attribut huwa mimli għal kull kont wara l-fornitur tal-identità qabel ma tattiva t-token fuqu.