Integrációk · Régi webalkalmazások
Kétfaktoros hitelesítés régi webalkalmazásokhoz SAML-proxyval
Arra a belső webalkalmazásra, amelyen a cég működésének fele múlik, amelynek gyártója már nincs, vagy amelynek forráskódjához senki sem mer hozzányúlni, és amelyet az auditor most már többfaktoros hitelesítés mögött szeretne látni. Egy elé helyezett, a Notakey SSO-szolgáltatására támaszkodó fordított proxy úgy adja hozzá a telefonos jóváhagyást, hogy az alkalmazásban egyetlen sort sem kell módosítani.
Hogyan csatlakozik
Kezelje az alkalmazást fekete dobozként
Egy mod_auth_mellon modullal ellátott Apache fordított proxy ül az alkalmazás előtt, és SAML-en kommunikál a Notakey készülékkel együtt szállított SSO-szolgáltatással. Ha a böngésző SAML-munkamenet nélkül kér egy védett URL-t, a proxy átirányítja az identitásszolgáltatóhoz. A felhasználó megadja a felhasználónevét, a hitelesítési szerver jóváhagyási kérést küld a telefonjára, jóváhagyás után pedig a böngésző aláírt SAML-állítással tér vissza. A proxy ellenőrzi az aláírást, és csak ezután engedi tovább a kéréseket.
Az alkalmazás soha nem változik. Ha van saját bejelentkezési képernyője, az ugyanúgy megmarad; ez a megoldás egy kaput helyez elé, nem cseréli le azt, ami mögötte van. Azt sem kell tudnia, milyen nyelven írták az alkalmazást.
A proxy Docker-konténerként fut bármely olyan gépen, amely eléri az alkalmazást, vagy közvetlenül a készülék csomópontjain, azok TLS-tanúsítványait vagy ACME-beállítását újrahasznosítva, így nincs szükség külön gépre.
Amit érdemes tudni, mielőtt belekezd
- Az alkalmazás kizárólag a proxyn keresztül lehet elérhető. Egy belső tűzfalszabály, vagy konténerizált alkalmazás esetén egy külön docker-hálózat a beállítás része, nem választható extra. Ha a felhasználók továbbra is közvetlenül elérik az alkalmazás IP-címét, a 2FA csak dísz.
- Szükség van egy Notakey Authentication Appliance-re a mellékelt, futó SSO-szolgáltatással, a Notakey Authenticatorban regisztrált felhasználókra, Dockerre egy olyan gépen, amely eléri az alkalmazást, valamint DNS-re és TLS-tanúsítványokra az új hosztnévhez.
- Ez a minta mindenre alkalmas, ami HTTP-n kommunikál. A VPN-ek, a Windows-bejelentkezések és a Linux-szerverek helyette a RADIUS- és a credential provider-integrációt használják.
- A kapu az alkalmazás előtt áll. Ha az alkalmazás megtartja saját bejelentkezési képernyőjét, a felhasználók a telefonos jóváhagyás után is látni fogják.
A nulláról az első jóváhagyásig
- 01
Generálja az SP-tanúsítványokat, és töltse le az IdP-metaadatokat
Hozza létre a SAML szolgáltató (SP) tanúsítványait és metaadatait a mellon_create_metadata.sh segítségével (egyetlen docker-parancs), majd töltse le az identitásszolgáltató metaadatait az SSO-szolgáltatásból.
- 02
Igazítsa az Apache-konfigurációt, és indítsa el a proxyt
A blackbox-webapp-2fa-howto tároló mintakonfigurációjában adja meg a nyilvános hosztnevet, a háttéralkalmazás URL-jét és a tanúsítványok elérési útját, indítsa el a konténert, és nézze át a naplóit.
- 03
Regisztrálja a proxyt az SSO föderációs oldalán, és teszteljen
Regisztrálja a proxyt szolgáltatóként (SP); a készülék az SP-metaadatokból kész ntk cfg set parancsot állít elő. Nyissa meg az alkalmazás új címét, hagyja jóvá a push értesítést, és máris az érintetlen alkalmazást látja, erős hitelesítés mögött.
Gyakran ismételt kérdések
- Módosítani kell magát az alkalmazást?
- Nem. Egy mod_auth_mellon modullal ellátott Apache fordított proxy SAML-en kommunikál a Notakey SSO-szolgáltatással, és minden kérést csak sikeres hitelesítés után enged tovább. Az alkalmazás és a saját bejelentkezési képernyője pontosan úgy marad, ahogy van.
- Mire van szükségem, mielőtt belekezdek?
- Egy Notakey Authentication Appliance-re a mellékelt, futó SSO-szolgáltatással, a Notakey Authenticatorban regisztrált felhasználókra, Dockerre egy olyan gépen, amely eléri az alkalmazást, valamint DNS-re és TLS-tanúsítványokra az új hosztnévhez.
- Megkerülhetik a felhasználók a proxyt?
- Csak akkor, ha az alkalmazás közvetlenül is elérhető marad. Zárja ezt le egy belső tűzfalszabállyal, vagy konténerizált alkalmazás esetén egy külön Docker-hálózattal; ez a beállítás része, nem választható extra.
Útmutatók és dokumentáció
Kapcsolódó termékek