Integracijos · Senos žiniatinklio programos
Dviejų veiksnių autentifikacija senoms žiniatinklio programoms su SAML tarpiniu serveriu
Vidinei žiniatinklio programai, ant kurios laikosi pusė verslo, kurios tiekėjo nebėra arba kurios kodo niekas nedrįsta liesti, o auditorius dabar nori, kad ji būtų apsaugota daugiaveiksne autentifikacija. Atvirkštinis tarpinis serveris prieš ją, paremtas Notakey SSO servisu, prideda patvirtinimą telefone nepakeitęs nė vienos programos kodo eilutės.
Kaip jungiama
Programą laikykite juodąja dėže
Apache atvirkštinis tarpinis serveris su mod_auth_mellon stovi prieš programą ir SAML protokolu bendrauja su SSO servisu, pateikiamu kartu su Notakey įrenginiu. Kai naršyklė be SAML sesijos kreipiasi į apsaugotą URL, tarpinis serveris ją nukreipia pas tapatybės teikėją. Naudotojas įveda naudotojo vardą, autentifikacijos serveris išsiunčia patvirtinimo užklausą į jo telefoną, o patvirtinus naršyklė grįžta su pasirašytu SAML teiginiu. Tarpinis serveris patikrina parašą ir tik tada praleidžia užklausas toliau.
Pati programa niekada nesikeičia. Jei ji turi savo prisijungimo ekraną, jis lieka toks, koks buvo; šis sprendimas prideda vartus priešais, o ne pakeičia tai, kas už jų. Nebūtina net žinoti, kokia kalba programa parašyta.
Tarpinis serveris veikia kaip Docker konteineris bet kuriame mazge, iš kurio pasiekiama programa, arba tiesiogiai įrenginio mazguose, pakartotinai naudodamas jų TLS sertifikatus ar ACME sąranką, todėl atskiro mazgo nereikia.
Ką žinoti prieš pradedant
- Programa turi būti pasiekiama tik per tarpinį serverį. Vidinė ugniasienės taisyklė arba, jei programa veikia konteineryje, atskiras docker tinklas yra sąrankos dalis, o ne papildoma galimybė. Jei naudotojai vis dar gali pasiekti programos IP adresą tiesiogiai, 2FA tėra dekoracija.
- Jums reikia Notakey autentifikacijos įrenginio su veikiančiu integruotu SSO servisu, Notakey Authenticator programėlėje užregistruotų naudotojų, Docker mazge, iš kurio pasiekiama programa, bei DNS įrašo ir TLS sertifikatų naujam mazgo vardui.
- Tai sprendimo modelis viskam, kas veikia per HTTP. VPN, Windows prisijungimams ir Linux serveriams skirtos RADIUS ir credential provider integracijos.
- Vartai stovi prieš programą. Jei programa išlaiko savo prisijungimo ekraną, naudotojai jį vis tiek matys po patvirtinimo telefone.
Nuo nulio iki pirmojo patvirtinimo
- 01
Sugeneruokite SP sertifikatus ir parsisiųskite IdP metaduomenis
Su mellon_create_metadata.sh (viena docker komanda) sukurkite SAML paslaugų teikėjo sertifikatus ir metaduomenis, tada iš savo SSO serviso parsisiųskite tapatybės teikėjo metaduomenis.
- 02
Pritaikykite Apache konfigūraciją ir paleiskite tarpinį serverį
Pavyzdinėje konfigūracijoje iš blackbox-webapp-2fa-howto saugyklos nurodykite savo išorinį mazgo vardą, galinės programos URL ir sertifikatų kelius, paleiskite konteinerį ir patikrinkite jo žurnalus.
- 03
Užregistruokite tarpinį serverį SSO federacijos puslapyje ir išbandykite
Užregistruokite tarpinį serverį kaip paslaugų teikėją; įrenginys SP metaduomenis paverčia paruošta ntk cfg set komanda. Atsidarykite naują programos adresą, patvirtinkite push pranešimą, ir prieš jus – nepakeista programa už stiprios autentifikacijos.
Dažniausiai užduodami klausimai
- Ar reikia keisti pačią programą?
- Ne. Apache atvirkštinis tarpinis serveris su mod_auth_mellon SAML protokolu bendrauja su Notakey SSO servisu ir tikrina kiekvieną užklausą. Programa ir jos pačios prisijungimo ekranas lieka visiškai tokie patys.
- Ko reikia prieš pradedant?
- Notakey autentifikacijos įrenginio su veikiančiu integruotu SSO servisu, Notakey Authenticator programėlėje užregistruotų naudotojų, Docker mazge, iš kurio pasiekiama programa, bei DNS įrašo ir TLS sertifikatų naujam mazgo vardui.
- Ar naudotojai gali apeiti tarpinį serverį?
- Tik jei programa vis dar pasiekiama tiesiogiai. Užkirskite tam kelią vidine ugniasienės taisykle arba, jei programa veikia konteineryje, atskiru Docker tinklu; tai sąrankos dalis, o ne papildoma galimybė.
Vadovai ir dokumentacija
- Pridėkite 2FA prie senos žiniatinklio programos – nekeisdami jos kodo
- blackbox-webapp-2fa-howto GitHub platformoje
Susiję produktai