Multifactorauthenticatie instellen¶
Multifactorauthenticatie (MFA) vraagt de gebruiker om een tweede bewijs naast zijn identificatie en wachtwoord. CyberElements biedt meerdere manieren om er een te verkrijgen. Deze pagina behandelt er vier van, in de volgorde waarin ze doorgaans worden overwogen, en beschrijft daarna degene die geen eigen integratiepagina heeft: het eenmalige wachtwoord dat per e-mail wordt verzonden.
Vier factoren, niet het hele plaatje
Deze vier zijn degene die deze pagina doorloopt — het zijn niet de enige tweede factoren die het platform kan vragen. Eveneens beschikbaar, maar buiten het bereik van deze pagina:
- een OTP dat per sms wordt verzonden, via een van de vele operators die de module OTP Token Generators aanbiedt;
- een Radius-connector naar een MFA-oplossing van een derde partij, via het type OTP - Radius van diezelfde module;
- authenticatie met een x509-certificaat, wat geen token is maar een authenticatiemethode van het domein zelf — User certificate, of User certificate and form om ook het wachtwoord te behouden;
- een MFA die stroomopwaarts door een SAML-provider wordt afgedwongen, of door een andere gedelegeerde authenticatie. De tweede factor wordt dan gevraagd voordat het platform erbij betrokken is, dat hem noch configureert noch ziet.
De MFA wordt op de identiteitsprovider ingesteld, nooit op een gebruiker
Welke factor u ook kiest, hij wordt op een identiteitsprovider ingeschakeld en geldt voor elke gebruiker die zich daarlangs aanmeldt. Er is geen instelling per gebruiker: om slechts een deel van uw gebruikers aan MFA te onderwerpen, plaatst u die gebruikers achter een eigen identiteitsprovider.
Een factor kiezen¶
| Factor | Wat de gebruiker doet | Wat het vereist | Procedure |
|---|---|---|---|
| Neomia Pulse | Niets. De gebruiker wordt herkend aan de manier waarop hij op zijn toetsenbord typt. | De optie Neomia Pulse, een identiteitsprovider van het type local of LDAP en een tweede factor uit deze tabel op dezelfde provider. |
Integratie van Neomia Pulse |
| FIDO2 | Toont zijn authenticator — door een beveiligingssleutel aan te sluiten, of door te bevestigen op het apparaat of in de kluis die de passkey bevat — en voert daarna een pincode in als de authenticator daarom vraagt. | Eén FIDO2-authenticator per gebruiker, een in de console gedeclareerde relying party en een persoonlijk account — een anonieme identiteitsprovider is uitgesloten. | Integratie van Yubico |
| TOTP | Leest een code van zes cijfers af in een authenticator-applicatie. | Een applicatie op de telefoon of het werkstation van de gebruiker (Google Authenticator, FreeOTP, Microsoft Authenticator enzovoort) en één registratie per gebruiker. | Integratie van Google Authenticator |
| OTP per e-mail | Neemt een per e-mail ontvangen code over. | Een vanaf het platform bereikbare SMTP-server en een e-mailadres in een gebruikersattribuut. | Een OTP per e-mail instellen |
Neomia Pulse wordt bovenop een andere factor geconfigureerd
Neomia Pulse inschakelen vereist dat er op hetzelfde domein een andere MFA is ingeschakeld. De instellingen ervan bepalen vervolgens waarvoor die andere factor wordt gebruikt: hij kan worden overgeslagen wanneer Pulse de gebruiker bevestigt, en worden vereist wanneer Pulse dat niet doet. Neomia Pulse is dus eerder een manier om de tweede factor te sparen dan om die te vervangen.
Waar elke factor wordt gedeclareerd, en waar hij wordt ingeschakeld¶
De configuratie heeft twee mogelijke fasen — de factor in zijn eigen module declareren en hem daarna op de identiteitsprovider inschakelen — maar twee van de vier slaan er een over:
| Factor | Gedeclareerd in | Ingeschakeld op de identiteitsprovider |
|---|---|---|
| Neomia Pulse | niets te declareren | ✅ de optie Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ niets in te schakelen — zie de opmerking hieronder |
| TOTP | OTP Token Generators | ✅ als authenticatietoken |
| OTP per e-mail | een SMTP server, daarna OTP Token Generators | ✅ als authenticatietoken |
FIDO2 heeft geen schakelaar op de identiteitsprovider
Beveiligingssleutels worden niet per provider ingeschakeld: het platform biedt de factor aan zodra er minstens één relying party is gedeclareerd, op elke identiteitsprovider die niet anoniem is — een sleutel moet aan een persoonlijk account zijn gekoppeld. En het is de gebruiker die zijn authenticator vanuit het portaal registreert, niet de beheerder die hem toewijst.
Bij Neomia Pulse valt vooraf niets te declareren
Pulse is geen token dat in een module wordt aangemaakt: de optie wordt rechtstreeks op de identiteitsprovider ingeschakeld, waar ook het gedrag ervan wordt ingesteld.
De rest van deze pagina behandelt het OTP per e-mail van begin tot eind. De drie andere factoren worden behandeld op hun integratiepagina, waarnaar de tabel hierboven verwijst.
Een OTP per e-mail instellen¶
Een OTP per e-mail stuurt de gebruiker per e-mail een eenmalig te gebruiken code zodra zijn identificatie en wachtwoord zijn aanvaard. De gebruiker voert die code in het portaal in om het aanmelden te voltooien.
Voordat u begint: waartegen een OTP per e-mail werkelijk beschermt¶
Een OTP per e-mail voegt niet altijd een factor toe
Lees dit voordat u deze factor boven de drie andere kiest.
Meldt de gebruiker zich aan met zijn Active Directory-account en haalt hij de code op uit een mailbox die aan datzelfde account is gekoppeld, dan voegt de tweede factor bijna niets toe: een aanvaller die de aanmeldgegevens heeft bemachtigd, opent met diezelfde aanmeldgegevens de mailbox en leest de code.
Een OTP per e-mail is de moeite van het implementeren waard wanneer de mailbox niet bereikbaar is met de aanmeldgegevens die worden gecontroleerd, dat wil zeggen wanneer:
- de gebruiker zich aanmeldt met een lokaal account, of met een account dat losstaat van zijn mailbox;
- de code wordt gestuurd naar een ander adres dan dat van het account waarmee wordt aangemeld.
Stap 1 — Zorgen voor een beschikbare SMTP-server¶
De code wordt door het platform verzonden via een SMTP-server die in de module SMTP servers is gedeclareerd. Is er nog geen beschikbaar, declareer er dan een voordat u verdergaat:
Het verzenden van e-mail instellen
Gebruik daarna het blok SMTP configuration test van die module om de aflevering te bevestigen: een storing die in dit stadium wordt vastgesteld, is een storing die u later niet in het aanmeldproces hoeft te zoeken.
Het testbericht gebruikt niet de afzender die u zult configureren
De test verzendt vanaf noreply@cleanroom.com, een adres dat door het product is vastgelegd: het kan nergens worden gewijzigd en dient tevens als antwoordadres. Uw eigen afzender is de SMTP sender van het token, die in stap 2 wordt ingesteld — dat is degene die de echte OTP-berichten dragen.
Het is goed het gevolg te kennen voordat u een conclusie trekt: een SMTP-server die de afzenderadressen beperkt, kan de test weigeren en de eigenlijke berichten doorlaten, en omgekeerd.
De verbinding wordt door het platform geopend
De stroom naar de SMTP-server vertrekt vanaf het platform, niet vanaf het werkstation van de gebruiker. Staat uw SMTP-server in uw LAN, dan moet die stroom worden toegestaan.
Stap 2 — Het OTP-token aanmaken¶
Open de module OTP Token Generators en klik op +. Selecteer in het venster Add OTP token het type OTP - email en vul daarna de velden in.
| Veld | Wat in te voeren |
|---|---|
| OTP Type | OTP - email. Deze keuze kan achteraf niet worden gewijzigd — een ander kanaal betekent een ander token. |
| Name | De naam van het token. Die wordt aan de gebruiker in het portaal getoond en moet dus lezen als de naam van een factor, niet als een interne referentie. |
| Description | Vrije tekst, alleen zichtbaar voor beheerders. |
| OTP usable characters | Het alfabet waaruit de code wordt samengesteld. |
| OTP Length | Het aantal tekens van de code. |
| Validity period of a token (seconds) | Hoe lang de gebruiker de tijd heeft om de code in te voeren voordat die wordt geweigerd. |
| Message before the OTP | De zin die in de berichttekst aan de code voorafgaat. |
| Mail subject | Het onderwerp van het bericht. |
| SMTP sender | Het afzenderadres van het bericht. |
| SMTP server | De in stap 1 gedeclareerde server. |
De volledige lijst met velden, met hun standaardwaarden en beperkingen, staat op de referentiepagina: Generiek blok en Bezorging per e-mail.
Klik op Validate om het token op te slaan.
Stap 3 — Het token op een identiteitsprovider inschakelen¶
Open de module Identity Providers en bewerk de provider die het OTP moet vragen.
| Veld | Wat in te voeren |
|---|---|
| Authentication token | Het in stap 2 aangemaakte token. Er kunnen meerdere tokens worden geselecteerd. |
| User attribute used to send the OTP | De naam van het gebruikersattribuut dat het adres bevat waarnaar de code wordt gestuurd. |
| Token expiration duration | Hoe lang een bevestigd OTP aanvaard blijft voordat het opnieuw wordt gevraagd. 0 schakelt het verlopen uit, wat betekent dat het OTP bij elke aanmelding wordt gevraagd. |
| Time unit | Hours of Days, toegepast op het vorige veld. |
| Expiration starts | Of het aftellen begint bij de laatste OTP-bevestiging of bij de laatste geslaagde aanmelding. |
Welk attribuut het adres bevat
Het attribuut is dat van de directory waarnaar de identiteitsprovider wijst, geen naam van onze keuze: gebruik het attribuut waarin uw gebruikers daadwerkelijk een adres dragen. Bij een lokale directory is het adres dat in de eigenschappen van de gebruiker is ingevoerd het doel; bij een LDAP-directory is het het eigen mailattribuut van de directory.
Klik op Validate. Aan de gebruikers van die identiteitsprovider wordt bij hun volgende aanmelding om een code gevraagd.
Stap 4 — Eerst op een test-identiteitsprovider controleren¶
De MFA op een identiteitsprovider inschakelen past die toe op elke gebruiker daarachter, uzelf inbegrepen als u zich daarlangs aanmeldt. Maak, voordat u het token op uw productieprovider inschakelt, een test-identiteitsprovider met één enkel account aan en voer daarlangs een volledige aanmelding uit: identificatie, wachtwoord, ontvangst van het bericht, invoer van de code.
Een gebruiker zonder adres ontvangt nooit een code
Aan een gebruiker met een leeg attribuut kan niets worden gestuurd, en zijn aanmelding kan niet worden voltooid. Controleer of het attribuut voor elk account achter de identiteitsprovider is ingevuld, voordat u het token erop inschakelt.