Руководство администратора Часть 3. Мультифакторная аутентификация on Infrascope

Отправка пользователям QR-кода MFA

Mon, 01 Jan 0001 00:00:00 +0000

У каждого пользователя есть QR-код для синхронизации Infrascope и мобильного приложения. Пользователям необходимо получить QR-код и отсканировать его с помощью мобильного приложения для синхронизации. Администраторы Infrascope могут отправлять QR-коды пользователям, при этом им также необходимо сканировать QR-код для себя.

Чтобы отправить QR-код:

Перейдите в раздел Администрирование > Мультифакторная аутентификация.
Откройте вкладку "Управление пользовательскими токенами".
Найдите пользователя по имени; откройте меню Параметры пользователя и выберите "Отправить регистрационный ключ вручную".
Во всплывающем окне появятся варианты отправки QR-кода через SMS, электронную почту или через ссылку доступа. Выберите желаемый способ отправки QR-кода.

Создание соединения между Infrascope и мобильным приложением Яндекс Ключ

Mon, 01 Jan 0001 00:00:00 +0000

Мобильное приложение "Яндекс Ключ" доступно в Google Play Store и Apple App Store. Пользователям необходимо сначала загрузить его и выполнить следующие шаги для синхронизации Infrascope и мобильного приложения:

Откройте мобильное приложение.
Выполните сканирование QR-кода.
Используйте мобильное приложение для сканирования QR-кода, включенного в электронное письмо, отправленное администратором.
Сканируя QR-код, ключ MFA сопоставляет мобильное приложение и веб- интерфейс Infrascope.

OTP можно активировать в других клиентских приложениях MFA, выполнив следующие действия.

Чтобы включить мультифакторную аутентификацию для клиентских приложений MFA:

Включение мультифакторной аутентификации (MFA)

Mon, 01 Jan 0001 00:00:00 +0000

Существуют различные сценарии использования MFA:

Использование MFA для входа в веб-интерфейс Infrascope
Использование MFA для подключений SSH/RDP
Использование MFA для SSH-прокси
Использование MFA для HTTP/HTTPS-прокси
Использование MFA для SFTP Proxy
Использование MFA для TACACS+ и Radius
Использование MFA для мобильных приложений

Для каждого случая использования MFA должна быть включена на уровне группы пользователей. Чтобы использовать MFA с помощью веб-интерфейса Infrascope, необходимо включить хотя бы одну из групп пользователей.

Второе применение MFA заключается в активации функции MFA в группе пользователей, чтобы установить SSH или RDP соединения с устройством с помощью функции MFA.

Использование MFA для SSH-подключений

Mon, 01 Jan 0001 00:00:00 +0000

Независимо от того, как MFA используется для входа в систему Infrascope, его также можно использовать для установления соединений (SSH/RDP) с целевыми устройствами с помощью любого метода. В этом разделе будет представлена информация о том, как настроить MFA для SSH-соединений.

Только пользователи из включенных групп пользователей могут использовать MFA для SSH-соединений. Чтобы включить использование MFA для группы пользователей, обратитесь к разделу Включение мультифакторной аутентификации(MFA).

Чтобы настроить MFA для соединений SSH, выполните следующие действия:

Использование MFA для RDP-подключений

Mon, 01 Jan 0001 00:00:00 +0000

Чтобы активировать MFA для RDP-подключения к целевому устройству:

Необходимые условия: Администратор и пользователи имеют QR-код, установили мобильное приложение, отсканировали QR-код с помощью мобильного приложения, и MFA включен для группы пользователей, которая будет использовать MFA для RDP-подключений (см. разделы Отправка пользователям QR-кода MFA, Создание соединения между Infrascope и мобильным приложением "Яндекс Ключ", Включение мультифакторной аутентификации (MFA)).
Войдите в веб-интерфейс Infrascope.
Перейдите в раздел Администрирование > Настройка системы.
Установите следующие обязательные параметры:
sc.rdp.connection.otp.enabled=true (одноразовый пароль включен для RDP- соединений)
sc.rdp.otp.cache.enabled=true (если параметр кэша активирован, после ввода ОТР пользователю не будет предложено ввести ОТР в течение срока действия кэширования)
sc.rdp.otp.cache.seconds=240 (время кэширования в секундах)

Использование MFA для SSH-прокси

Mon, 01 Jan 0001 00:00:00 +0000

MFA можно использовать в качестве повышенного уровня безопасности для SSH Proxy.

Когда пользователь открывает SSH-клиент (Putty, SecureCRT и т.д.), у него запрашиваются учетные данные Infrascope для подключения к SSH-прокси. После успешного входа в систему, если MFA активирована для SSH Proxy, пользователю будет предложено ввести токен MFA.

Чтобы включить MFA для SSH Proxy:

Необходимые условия: Администратор и пользователи имеют QR-код, установили мобильное приложение, отсканировали QR-код с помощью мобильного приложения, и MFA включен для группы пользователей, которая будет использовать MFA для SSH Proxy.
Установите SSH-соединение с Infrascope в качестве пользователя pamuser.
Отредактируйте файл "nsso.properties" с помощью приведенной ниже команды:
vi /u01/nssoapp/conf/nsso.properties
Проверьте в конфигурационном файле, не настроен ли уже указанный ниже параметр. Если нет, добавьте приведенные ниже строки. Если перед параметрами стоит знак хэша (#), удалите знак хэша (#), чтобы активировать параметр. Если значение параметра равно "false", измените его на "true". Чтобы ввести или добавить что-либо в редакторе vi, сначала нажмите клавишу Insert на клавиатуре, затем введите нужную строку. Для выхода из режима набора текста нажмите Esc. Чтобы сохранить файл, нажмите Esc, затем двоеточие (:), затем введите "wq!" и нажмите Enter. Если вы не хотите сохранять изменения в файле, нажмите Esc, затем двоеточие (:), затем введите "q!" и нажмите Enter.
nsso.connection.initial.otp.enabled=true
nsso.connection.initial.otp.cache.enabled=true
nsso.connection.initial.otp.cache.sec=xxx (секунда)
Перезапустите SSH Proxy с помощью следующей команды systemctl restart pam-ssh

Использование MFA для HTTP/HTTPS-прокси

Mon, 01 Jan 0001 00:00:00 +0000

MFA можно использовать в качестве повышенного уровня безопасности для HTTP- прокси. При открытии веб-браузера у пользователя запрашиваются учетные данные Infrascope для подключения к HTTP-прокси. После успешного входа в систему, если MFA активирована для HTTP-прокси, требуется токен MFA.

Чтобы включить MFA для HTTP Proxy:

Необходимые условия: Администратор и пользователи имеют QR-код, установили мобильное приложение, отсканировали QR-код с помощью мобильного приложения, и MFA включен для группы пользователей, которая будет использовать MFA для HTTP-соединений.
Установите SSH-соединение с Infrascope в качестве пользователя pamuser.
Отредактируйте файл "proxy.properties" с помощью команды:
vi /u01/http-proxy/conf/http_proxy.properties
Проверьте конфигурационный файл на предмет того, не настроен ли в нем нижеуказанный параметр. Если нет, добавьте приведенные ниже строки. Если перед параметрами стоит знак хэша (#), удалите знак хэша (#), чтобы активировать параметр. Если значение параметра равно "false", измените его на "true". Чтобы ввести или добавить что-либо в редакторе vi, сначала нажмите клавишу Insert на клавиатуре, затем введите нужную строку. Для выхода из режима набора текста нажмите Esc. Чтобы сохранить файл, нажмите Esc, затем двоеточие (:), введите "wq!" и нажмите Enter. Если вы не хотите сохранять изменения в файле, нажмите Esc, затем двоеточие (:), введите "q!" и нажмите Enter.
http.proxy.otp.enabled=true
http.proxy.connection.initial.otp.enabled=false
Параметр http.proxy.connection.initial.otp.enabled по умолчанию имеет значение false.
Если этот параметр имеет значение true, то после успешной аутентификации на HTTP Proxy будет запрошен MFA независимо от целевого устройства, если аутентифицированный пользователь определил группу пользователей с включенным MFA.
Перезапустите HTTP-прокси с помощью команды:
systemctl restart pam-http

Использование MFA для SFTP PROXY

Mon, 01 Jan 0001 00:00:00 +0000

Встроенную функцию MFA в Infrascope можно использовать в качестве повышенного уровня безопасности для SFTP Proxy.

Когда пользователи открывают SFTP-клиент (WinSCP или FileZilla), им предлагается ввести учетные данные Infrascope для подключения к SFTP-прокси.

Если MFA активирован для SFTP Proxy:

Для соединений FileZilla: После успешного входа пользователей в систему с использованием их учетных данных открывается следующее окно, где пользователям предлагается ввести токен MFA.
Для соединений WinSCP: Учетные данные Infrascope и токен MFA вводятся на одном экране.

Использование MFA для TACACS+ MANAGER

Mon, 01 Jan 0001 00:00:00 +0000

MFA можно использовать с TACACS+ Manager. Чтобы активировать MFA для TACACS+ Manager:

Необходимые условия: Администратор и пользователи имеют QR-код, установили мобильное приложение, отсканировали QR-код с помощью мобильного приложения, и MFA включен для группы пользователей, которая будет использовать MFA для соединений TACACS+.
Подключитесь к Infrascope с помощью клиента SSH как пользователь Infrascope admin.
Остановите работу TACACS+ командой ниже (не закрывайте сеанс SSH).
systemctl stop pam-tacacs
Войдите в веб-интерфейс Infrascope.
Перейдите в раздел Администрирование > Управление TACACS.
Нажмите кнопку "Параметры" и удалите конфигурацию.

Использование MFA для RADIUS

Mon, 01 Jan 0001 00:00:00 +0000

MFA также можно использовать с аутентификацией Radius. Чтобы активировать MFA для Radius:

Необходимые условия: Администратор и пользователи имеют QR-код, установили мобильное приложение, отсканировали QR-код с помощью мобильного приложения, и MFA включен для группы пользователей, которая будет использовать MFA для соединений Radius.
Установите SSH-соединение с Infrascope в качестве пользователя pamuser.
Отредактируйте файл "sc_radiusd.conf" с помощью приведенной ниже команды:
vi /etc/raddb/sc_radiusd.conf

Проверьте в конфигурационном файле, не настроен ли уже указанный ниже параметр. Если нет, добавьте приведенные ниже строки. Если перед параметрами стоит знак хэша (#), удалите знак хэша (#), чтобы активировать параметр. Если значение параметра "false", измените его на "true" (значение по умолчанию "true"). Чтобы ввести или добавить что-либо в редакторе vi, сначала нажмите клавишу Insert на клавиатуре, затем введите нужную строку. Для выхода из режима набора текста нажмите Esc. Чтобы сохранить файл, нажмите Esc, затем двоеточие (:), затем введите "wq!" и нажмите Enter. Если вы не хотите сохранять изменения в файле, нажмите Esc, затем двоеточие (:), затем введите "q!" и нажмите Enter.
sc_otp_enabled=true

Когда появляется экран входа в систему OTP, системное сообщение можно изменить в файле sc_radiusd.conf. Сообщение по умолчанию: sc_otp_message="Infrascope - Please Enter OTP:".

Настройки офлайн режима

Mon, 01 Jan 0001 00:00:00 +0000

Чтобы настроить параметры MFA Offline:

Перейдите в раздел Администрирование > Настройка системы.
Введите "2fa" в поле Имя параметра и нажмите кнопку "Поиск".
Установите значение параметра iga.2fa.token.timestep.

Значение параметра по умолчанию составляет 30 секунд. В случаях, когда 30 секунд недостаточно в процессах доступа, период действия OTP может быть увеличен. Для повышения уровня безопасности рекомендуется использовать 30 секунд.

Использование SMS для MFA

Mon, 01 Jan 0001 00:00:00 +0000

Существует два способа отправки SMS: по HTTP (через SMS Proxy) или по SMPP (через SMSC).

ОТP могут быть сгенерированы с помощью Infrascope и отправлены по SMS. Чтобы настроить параметры MFA SMS:

Перейдите в раздел Администрирование > Настройка системы.
Введите "2fa" в поле Имя параметра и нажмите кнопку "Поиск".
Установите значение параметров "iga.2fa.sms.http.body", "iga.2fa.sms.http.headers", "iga.2fa.sms.http.secret.body", "iga.2fa.sms.http.url", "iga.2fa.sms.http.url", "iga.2fa.sms.smpp.body", "iga.2fa.sms.smpp.secret.body", "iga.2fa.sms.http.timeout" и "iga.2fa.token.timestep".

Пользователи, не являющиеся администраторами, могут использовать MFA, который они будут использовать при получении доступа, как из SMS, так и из мобильного приложения. Кроме того, SMS-активация может быть выполнена самими пользователями. Таким образом, можно использовать только SMS или только мобильное приложение.

Использование электронной почты для MFA

Mon, 01 Jan 0001 00:00:00 +0000

Сгенерированный в Infrascope одноразовый пароль можно отправлять пользователям по электронной почте. Использование электронной почты для MFA работает с SMS, то есть SMS и электронная почта отправляются одновременно.

Чтобы настроить параметры электронной почты MFA:

Перейдите в Администрирование > Настройка системы.
Нажмите кнопку "Добавить" и выберите "Добавить параметр".
Установите параметры:
iga.2fa.send.token.via.email = true и iga.2fa.sms.http.enabled=true
Перейдите на экран настройки MFA, включите OTP и выберите "Включить SMS" для группы пользователей.

Конфигурация MFA для служб VPN

Mon, 01 Jan 0001 00:00:00 +0000

MFA менеджер, встроенный в Infrascope, можно использовать в качестве стороннего MFA-сервера для внешних приложений, устройств, VPN и т.д., которые поддерживают аутентификацию RADIUS.

Чтобы активировать эту функцию:

Определите устройство VPN и область группы устройств с соответствующими пользователями в Infrascope.
Определите свойство типа элемента в разделе "Тип элемента" VPN Device:
Перейдите в раздел Устройства > Типы.
Нажмите кнопку "Параметры" нужного типа элемента и выберите "Редактировать".
Установите значение свойства Включен только токен аутентификации Radius в значение true.