Povolte 2FA v Jira & Confluence s miniOrange

Vědět, co instalujete

Samohoštěné Jira a Confluence nejsou dodávány s úplným dvoufaktorovým vynucovacím systémem pro každého uživatele, a proto toto video používá aplikaci miniOrange dvoufaktorové ověřování. Než začnete, ujasněte si, co to znamená: miniOrange je plugin třetí strany, nikoli funkce vytvořená společností Atlassian, a instaluje se samostatně v každé aplikaci.

K tomu potřebujete administrátorská práva na serverech Jira a Confluence a instalace Jira a instalace Confluence jsou dvě samostatné úlohy – dokončení Jira v Confluence nic nezapne.

Nainstalujte si aplikaci miniOrange 2FA

V oblasti správy aplikací v administrátorské konzoli Jira najděte aplikaci miniOrange pro dvoufaktorovou autentizaci na Atlassian Marketplace a nainstalujte ji. Aplikace z Marketplace se instalují přímo do produktu, takže není třeba nic stahovat do počítače ani ručně kopírovat na server.

Jakmile Jira skončí, zopakujte stejnou instalaci v Confluence. Pokračujte v konfiguraci pouze tehdy, když se aplikace zobrazí jako nainstalovaná v obou aplikacích.

Nakonfigurujte TOTP jako druhý faktor

V konfiguraci aplikace vyberte jako druhý faktor TOTP. S TOTP se každý uživatel jednou zaregistruje pomocí ověřovací aplikace ve svém telefonu: při nastavení uživatel naskenuje kód zobrazený na obrazovce pomocí ověřovací aplikace a od té chvíle aplikace generuje nový, krátkodobý kód pro každé přihlášení.

Přihlašovací postup, který vaši uživatelé uvidí poté, je jednoduchý: nejprve uživatelské jméno a heslo, poté aktuální kód TOTP z aplikace pro ověřování. Toto nakonfigurujte, než budete pokračovat – nastavení vynucení přijde později, po pilotu.

Před vynucením čehokoli uložte kódy pro obnovení

Než se 2FA stane pro kohokoli povinným, musí si každý uživatel – a především správci – vygenerovat své kódy pro obnovení a uložit je někde v bezpečí mimo server, například vytištěné a uložené nebo ve správci hesel.

Nejprve zavést pilotní skupinu

Nezapínejte 2FA pro celou společnost najednou. Nejprve jej aktivujte pro malou pilotní skupinu – přirozenou volbou je váš vlastní IT tým – a nechte je, aby jej používali ke skutečné práci.

Nechte pilotní skupinu otestovat celou cestu: přihlaste se pomocí hesla a kódu TOTP, zaregistrujte nový telefon a znovu se přihlaste pomocí kódu pro obnovení. Každý problém, který zde najdete, je problém, který jste vyřešili, přičemž se to týká pouze hrstky lidí, namísto celé kanceláře v pondělí ráno.

Použijte dodatečnou lhůtu a poté vynutit

Jakmile bude pilot čistý, oznamte konečný termín všem uživatelům a začněte dodatečnou lhůtu: v nastaveném období jsou uživatelé při přihlášení vyzváni, aby se zaregistrovali do 2FA, ale mohou se do ní dostat i během nastavování. Sdělte datum jasně – co se mění, do kdy a kde požádat o pomoc.

Po uplynutí doby odkladu začíná vymáhání: nikdo se nepřihlásí do Jira nebo Confluence bez druhého faktoru. Vzhledem k tomu, že pilot již prokázal tok a doba odkladu poskytla všem čas se zapsat, den vynucení by měl být klidný.

Připravte se na obnovení správce

Telefony se ztrácejí, nahrazují a resetují – uzamčení považujte za normální událost, nikoli za výjimku. Cesta obnovení správce je způsob, jakým správce resetuje druhý faktor uzamčeného uživatele, aby se uživatel mohl znovu zaregistrovat při příštím přihlášení.

Uchovejte si tuto cestu obnovení zdokumentovanou a otestovanou i po dokončení vynucení a znovu ji zkontrolujte při každé aktualizaci aplikace. Systém 2FA, jehož cestu obnovy nikdo nezkusil, je zablokování, které čeká, až nastane.