Aktiver 2FA i Jira & Confluence med miniOrange

Vid, hvad du installerer

Selvhostede Jira og Confluence leveres ikke med et komplet to-faktor håndhævelsessystem for hver bruger ud af kassen, hvilket er grunden til, at denne video bruger miniOrange to-faktor-godkendelsesappen. Vær klar over, hvad det betyder, før du starter: miniOrange er et tredjepartsleverandørplugin, ikke en funktion bygget af Atlassian, og det installeres separat i hver applikation.

Du skal bruge administratorrettigheder på Jira- og Confluence-serverne for at gøre dette, og Jira-installationen og Confluence-installationen er to separate opgaver - at afslutte Jira aktiverer ikke noget i Confluence.

Installer miniOrange 2FA-appen

Fra appadministrationsområdet på Jira-administrationskonsollen skal du finde miniOrange to-faktor-godkendelsesappen på Atlassian Marketplace og installere den. Marketplace-apps installeres inde i selve produktet, så der er intet at downloade til din pc og intet at kopiere til serveren manuelt.

Når Jira er færdig, skal du gentage den samme installation inde i Confluence. Fortsæt kun til konfigurationen, når appen vises som installeret i begge applikationer.

Konfigurer TOTP som den anden faktor

I appkonfigurationen skal du vælge TOTP som den anden faktor. Med TOTP tilmelder hver bruger sig én gang med en godkendelsesapp på deres telefon: Ved opsætningen scanner brugeren koden vist på skærmen med godkendelsesappen, og fra da af genererer appen en frisk, kortvarig kode for hvert login.

Loginflowet, som dine brugere vil se efter dette, er enkelt: først brugernavn og adgangskode, derefter den aktuelle TOTP-kode fra godkendelsesappen. Konfigurer dette, før du går videre – håndhævelsesindstillinger kommer senere, efter piloten.

Gem gendannelseskoder, før du håndhæver noget

Før 2FA bliver obligatorisk for nogen, skal hver bruger – og administratorerne først og fremmest – generere deres gendannelseskoder og gemme dem et sikkert sted uden for serveren, for eksempel udskrevet og arkiveret eller i en adgangskodehåndtering.

Rul ud til en pilotgruppe først

Tænd ikke 2FA for hele virksomheden på én gang. Aktiver det først for en lille pilotgruppe – dit eget it-team er det naturlige valg – og lad dem bruge det til rigtigt arbejde.

Få pilotgruppen til at teste hele rejsen: at logge ind med adgangskode plus TOTP-kode, tilmelde en ny telefon og komme ind igen med en gendannelseskode. Ethvert problem, du finder her, er et problem, du har løst, mens kun en håndfuld mennesker er berørt, i stedet for hele kontoret en mandag morgen.

Brug henstandsperioden, og håndhæv derefter

Når piloten er ren, annoncere en deadline til alle brugere og starte henstandsperioden: For et bestemt tidsrum bliver brugerne bedt om at tilmelde sig 2FA ved login, men kan stadig komme ind, mens de konfigurerer det. Kommuniker datoen tydeligt - hvad ændrer sig, hvornår og hvor du kan bede om hjælp.

Når henstandsperioden slutter, begynder håndhævelsen: Ingen logger på Jira eller Confluence uden den anden faktor. Fordi piloten allerede har bevist flowet, og henstandsperioden gav alle tid til at tilmelde sig, bør håndhævelsesdagen være stille.

Hold Admin Recovery klar

Telefoner går tabt, udskiftes og nulstilles – behandl lockout som en normal begivenhed, ikke en undtagelse. Admin-gendannelsesstien er, hvordan en administrator nulstiller en låst brugers anden faktor, så brugeren kan tilmelde sig igen ved næste login.

Hold denne gendannelsesrute dokumenteret og testet, selv efter håndhævelsen er fuldført, og tjek den igen, hver gang appen opdateres. Et 2FA-system, hvis gendannelsessti ingen har prøvet, er en lockout, der venter på at ske.