Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Indeed AM MFA Provider

Провайдер Indeed AM Multi-factor authentication Provider (MFA) позволяет задать последовательность провайдеров в цепочке многофакторной аутентификации.

MFA Provider может быть использован для аутентификации в следующих модулях:

Идентификатор провайдера
{070719BA-EB57-4EA8-BB4D-D15A33E7363D}

Установка провайдера​

Важно

В инфраструктуре с несколькими серверами Core Server установите провайдер на каждом из них.

Провайдер добавляется с помощью мастера конфигурации на шаге Схема хостов → Провайдеры.

Если требуется добавить MFA к существующей конфигурации Access Manager:

  1. Откройте мастер конфигурации.
  2. На шаге Схема хостов в разделе Провайдеры выберите MFA.
  3. Сделайте резервную копию и перейдите на шаг Применение изменений.

Настройка провайдера​

  1. Убедитесь, что в core-server.docker-compose.yml в параметре volumes не закомментирована строка с auth-mfa.

  2. В конфигурационном файле am/core/app-settings.json в блоке PlatformCompatibility для параметра Registry в теге "File": укажите название файла, в котором будут прописываться настройки провайдера MFA. Значение по умолчанию server-registry.json. Остальные параметры не изменяйте.

  3. Откройте файл am/core/server-registry.json и добавьте строки со следующими параметрами:

    • KeyName — имя ключа в реестре, не изменять
    • ValueName — имя значения, можно изменять
    • StringValue — указание цепочки многофакторной аутентификации
    • StringArrayValue — указание идентификаторов провайдеров в цепочке
    Пример
    {
         "KeyName": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Indeed-Id\\BSPs\\MFA",
         "ValueName": "MFADeviceName",
         "StringValue": "WP + STOTP"
     },
     {
         "KeyName": "HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Indeed-Id\\BSPs\\MFA",
         "ValueName": "BSPChain",
         "StringArrayValue": [
             "{CF189AF5-01C5-469D-A859-A8F2F41ED153}",
             "{0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}"
         ]
     }

  4. Сохраните изменения в файле и перезапустите контейнер с приложением.

  5. Перейдите к настройке цепочки многофакторной аутентификации.

    Важно

    Провайдеры цепочки многофакторной аутентификации, указанные в am/core/app-settings.json, должны совпадать с провайдерами в групповой политике.

Список поддерживаемых провайдеров для Windows Logon
SMS OTP {EBB6F3FA-A400-45F4-853A-D517D89AC2A3}
Email OTP {093F612B-727E-44E7-9C95-095F07CBB94B}
Storage SMS OTP {3F2C1156-B5AF-4643-BFCB-9816012F3F34}
Passcode {F696F05D-5466-42b4-BF52-21BEE1CB9529}
Software OTP {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}
Windows Password {CF189AF5-01C5-469D-A859-A8F2F41ED153}
Indeed Key {DEEF0CB8-AD2F-4B89-964A-B6C7ECA80C68}
Hardware OTP {AD3FBA95-AE99-4773-93A3-6530A29C7556}
Hardware TOTP {CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05}
Secured TOTP {F15FD7EC-19EA-4384-846E-A2D0BE149FA2}
Z2 USB {CB5109DA-B575-422C-8805-524FE12B02F5}
Smart Card {0AF65AD8-DB77-4B64-B489-958D9B36E28C}
Smart Card + PIN {42456525-8EC1-4AB1-97B8-45AF8635D10F}
Список поддерживаемых провайдеров для FreeRadius Extension
Hardware OTP {AD3FBA95-AE99-4773-93A3-6530A29C7556}
Hardware TOTP {CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05}
Secured TOTP {F15FD7EC-19EA-4384-846E-A2D0BE149FA2}
Software TOTP {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}
Windows Password {CF189AF5-01C5-469D-A859-A8F2F41ED153}
Passcode {F696F05D-5466-42b4-BF52-21BEE1CB9529}
Список поддерживаемых провайдеров для Linux Logon
Secured TOTP {F15FD7EC-19EA-4384-846E-A2D0BE149FA2}
Software TOTP {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}
Windows Password {CF189AF5-01C5-469D-A859-A8F2F41ED153}
Passcode {F696F05D-5466-42b4-BF52-21BEE1CB9529}
Z2 USB {CB5109DA-B575-422C-8805-524FE12B02F5}
Smart Card {0AF65AD8-DB77-4B64-B489-958D9B36E28C}
Smart Card + PIN {42456525-8EC1-4AB1-97B8-45AF8635D10F}

Настройка цепочки многофакторной аутентификации​

Важно

Политика должна распространяться на все рабочие станции пользователей.

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

  1. Откройте политику Настройки цепочки многофакторной аутентификации. Политика расположена по следующему пути: Административные шаблоны→Indeed-ID→Id Providers→MFA.

  2. Установите значение политики Включено. 

  3. В параметре Цепочка многофакторной аутентификации укажите идентификаторы провайдеров аутентификации, которые будут использоваться в цепочке. Каждый идентификатор указывайте в фигурных скобках и с новой строки без пробелов и других символов.

    Примечание

    Запрещенный для использования провайдер может быть использован в цепочке провайдера MFA.

    Список поддерживаемых провайдеров для Windows Logon
    SMS OTP {EBB6F3FA-A400-45F4-853A-D517D89AC2A3}
    Email OTP {093F612B-727E-44E7-9C95-095F07CBB94B}
    Storage SMS OTP {3F2C1156-B5AF-4643-BFCB-9816012F3F34}
    Passcode {F696F05D-5466-42b4-BF52-21BEE1CB9529}
    Software OTP {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}
    Windows Password {CF189AF5-01C5-469D-A859-A8F2F41ED153}
    Indeed Key {DEEF0CB8-AD2F-4B89-964A-B6C7ECA80C68}
    Hardware OTP {AD3FBA95-AE99-4773-93A3-6530A29C7556}
    Hardware TOTP {CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05}
    Secured TOTP {F15FD7EC-19EA-4384-846E-A2D0BE149FA2}
    Z2 USB {CB5109DA-B575-422C-8805-524FE12B02F5}
    Smart Card {0AF65AD8-DB77-4B64-B489-958D9B36E28C}
    Smart Card + PIN {42456525-8EC1-4AB1-97B8-45AF8635D10F}
    Список поддерживаемых провайдеров для FreeRadius Extension
    Hardware OTP {AD3FBA95-AE99-4773-93A3-6530A29C7556}
    Hardware TOTP {CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05}
    Secured TOTP {F15FD7EC-19EA-4384-846E-A2D0BE149FA2}
    Software TOTP {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}
    Windows Password {CF189AF5-01C5-469D-A859-A8F2F41ED153}
    Passcode {F696F05D-5466-42b4-BF52-21BEE1CB9529}
    Пример цепочки Indeed AM Passcode + Indeed AM SMS OTP

    {F696F05D-5466-42b4-BF52-21BEE1CB9529}

    {EBB6F3FA-A400-45F4-853A-D517D89AC2A3}

  4. В параметре Имя устройства указывается имя для созданной цепочки. Значение по умолчанию — MFA.

    Информация

    Данное значение будет отображаться в названии устройства MFA для пользователя и в событиях системы. 

Пример аутентификации​

В примере используется компонент Indeed AM Windows Logon и цепочка провайдеров Indeed AM Passcode + Indeed AM SMS OTP.

Чтобы выполнить вход с помощью MFA Provider, выполните следующее:

  1. Выберите провайдер аутентификации Многофакторная аутентификация.

  2. Введите данные для первого провайдера в цепочке. 

  3. Введите данные для второго провайдера в цепочке и выполните вход.

Настройка в Management Console​

Для настройки MFA в Management Console перейдите в раздел Конфигурация → Аутентификаторы и выберите аутентификатор Multi-factor authentication.

Права доступа​

Чтобы выдать или отозвать права на использование аутентификатора, выполните следующее:

  1. Перейдите в секцию Основные настройки.
  2. В настройке Запретить использовать укажите, может ли пользователь использовать или регистрировать выбранный аутентификатор.

Блокировка аутентификатора​

Чтобы заблокировать аутентификатор, в секции Настройки блокировки аутентификатора выполните следующие настройки:

  1. Разрешите или заблокируйте использование MFA в случае серии неудачных попыток аутентификации.
  2. В поле Количество попыток аутентификации до блокировки укажите, сколько раз пользователь может совершить неудачную аутентификацию до блокировки способа аутентификации.
  3. В поле Сброс счетчика блокировки укажите, сколько минут должно пройти после неудачной попытки аутентификации, прежде чем сбросится счетчик.
  4. В поле Таймаут до разблокировки способа входа укажите, через сколько минут заблокированный способ аутентификации станет вновь доступным.