Integrācijas · Mantotās tīmekļa lietotnes
Divfaktoru autentifikācija mantotām tīmekļa lietotnēm ar SAML proxy
Iekšējai tīmekļa lietotnei, uz kuras turas puse uzņēmuma, kuras izstrādātājs sen vairs nepastāv vai kuras pirmkodam neviens neuzdrošinās pieskarties un kurai auditors tagad prasa daudzfaktoru autentifikāciju. Reversais proxy tās priekšā, kas balstās uz Notakey SSO servisu, pievieno apstiprinājumu tālrunī, nemainot nevienu lietotnes koda rindu.
Kā tas tiek pieslēgts
Uzlūkojiet lietotni kā melno kasti
Apache reversais proxy ar mod_auth_mellon atrodas lietotnes priekšā un sazinās pa SAML ar SSO servisu, kas ir Notakey iekārtas komplektā. Kad pārlūks pieprasa aizsargātu URL bez SAML sesijas, proxy to novirza uz identitātes nodrošinātāju. Lietotājs ievada lietotājvārdu, autentifikācijas serveris nosūta apstiprinājuma pieprasījumu uz viņa tālruni, un pēc apstiprinājuma pārlūks atgriežas ar parakstītu SAML apgalvojumu. Proxy pārbauda parakstu un tikai tad laiž pieprasījumus tālāk.
Lietotne nemainās nemaz. Ja tai ir savs pieteikšanās ekrāns, tas paliek, kā bijis: šis risinājums novieto vārtus priekšā, nevis aizstāj to, kas aiz tiem. Nav pat jāzina, kādā valodā lietotne rakstīta.
Proxy darbojas kā Docker konteiners jebkurā resursdatorā, kas sasniedz lietotni, vai tieši iekārtas mezglos, izmantojot to TLS sertifikātus vai ACME iestatījumus, tāpēc atsevišķs resursdators nav vajadzīgs.
Kas jāzina pirms sākšanas
- Lietotnei jābūt sasniedzamai tikai caur proxy. Iekšēja ugunsmūra kārtula vai atsevišķs docker tīkls, ja lietotne darbojas konteinerā, ir daļa no uzstādīšanas, nevis izvēles papildinājums. Ja lietotāji joprojām var piekļūt lietotnes IP adresei tieši, 2FA ir tikai dekorācija.
- Vajadzīga Notakey Authentication Appliance, kurā darbojas komplektā iekļautais SSO serviss, Notakey Authenticator lietotnē reģistrēti lietotāji, Docker resursdatorā, kas sasniedz lietotni, kā arī DNS un TLS sertifikāti jaunajam resursdatora nosaukumam.
- Šis risinājums der visam, kas runā HTTP. VPN, Windows pieteikšanās un Linux serveriem izmantojiet RADIUS un credential provider integrācijas.
- Vārti atrodas lietotnes priekšā. Ja lietotnei ir savs pieteikšanās ekrāns, lietotāji to joprojām redz pēc apstiprinājuma tālrunī.
No nulles līdz pirmajam apstiprinājumam
- 01
Izveidojiet SP sertifikātus un iegūstiet IdP metadatus
Izveidojiet SAML pakalpojuma sniedzēja sertifikātus un metadatus ar mellon_create_metadata.sh (viena docker komanda), tad iegūstiet identitātes nodrošinātāja metadatus no sava SSO servisa.
- 02
Pielāgojiet Apache konfigurāciju un palaidiet proxy
Repozitorija blackbox-webapp-2fa-howto parauga konfigurācijā norādiet savu publisko resursdatora nosaukumu, aizmugursistēmas URL un sertifikātu ceļus, palaidiet konteineru un pārbaudiet tā žurnālus.
- 03
Reģistrējiet proxy SSO federācijas lapā un pārbaudiet
Reģistrējiet proxy kā pakalpojuma sniedzēju; iekārta SP metadatus pārvērš gatavā ntk cfg set komandā. Atveriet lietotnes jauno adresi, apstipriniet push paziņojumu, un jūsu priekšā ir neskartā lietotne, aizsargāta ar stipru autentifikāciju.
Bieži uzdotie jautājumi
- Vai pašā lietotnē kaut kas jāmaina?
- Nē. Apache reversais proxy ar mod_auth_mellon sazinās pa SAML ar Notakey SSO servisu un pārbauda katru pieprasījumu. Lietotne un tās pieteikšanās ekrāns paliek tieši tādi, kādi bija.
- Kas vajadzīgs, pirms sāku?
- Notakey Authentication Appliance, kurā darbojas komplektā iekļautais SSO serviss, Notakey Authenticator lietotnē reģistrēti lietotāji, Docker resursdatorā, kas sasniedz lietotni, kā arī DNS un TLS sertifikāti jaunajam resursdatora nosaukumam.
- Vai lietotāji var apiet proxy?
- Tikai tad, ja lietotne joprojām ir sasniedzama tieši. Novērsiet to ar iekšēju ugunsmūra kārtulu vai, ja lietotne darbojas konteinerā, ar atsevišķu Docker tīklu; tā ir daļa no uzstādīšanas, nevis izvēles papildinājums.
Ceļveži un dokumentācija
- Kā pievienot 2FA mantotai tīmekļa lietotnei, nemainot tās kodu
- blackbox-webapp-2fa-howto vietnē GitHub
Saistītie produkti