Aktivieren Sie 2FA in Jira und Confluence mit miniOrange

Wissen Sie, was Sie installieren

Selbst gehostetes Jira und Confluence werden nicht standardmäßig mit einem vollständigen Zwei-Faktor-Durchsetzungssystem für jeden Benutzer ausgeliefert, weshalb in diesem Video die miniOrange Zwei-Faktor-Authentifizierungs-App verwendet wird. Machen Sie sich klar, was das bedeutet, bevor Sie beginnen: miniOrange ist ein Drittanbieter-Plugin, keine von Atlassian entwickelte Funktion, und es wird in jeder Anwendung separat installiert.

Dazu benötigen Sie Administratorrechte auf den Jira- und Confluence-Servern, und die Jira-Installation und die Confluence-Installation sind zwei separate Aufgaben – durch das Beenden von Jira wird in Confluence nichts aktiviert.

Installieren Sie die miniOrange 2FA-App

Suchen Sie im App-Verwaltungsbereich der Jira-Administratorkonsole die miniOrange-Zwei-Faktor-Authentifizierungs-App auf dem Atlassian Marketplace und installieren Sie sie. Marketplace-Apps werden im Produkt selbst installiert, sodass Sie nichts auf Ihren PC herunterladen und nichts manuell auf den Server kopieren müssen.

Sobald Jira fertig ist, wiederholen Sie die gleiche Installation in Confluence. Fahren Sie mit der Konfiguration erst fort, wenn die App in beiden Anwendungen als installiert angezeigt wird.

Konfigurieren Sie TOTP als zweiten Faktor

Wählen Sie in der App-Konfiguration TOTP als zweiten Faktor. Bei TOTP registriert sich jeder Benutzer einmal mit einer Authentifizierungs-App auf seinem Telefon: Bei der Einrichtung scannt der Benutzer den auf dem Bildschirm angezeigten Code mit der Authentifizierungs-App und von da an generiert die App für jede Anmeldung einen neuen, kurzlebigen Code.

Der Anmeldevorgang, den Ihre Benutzer danach sehen, ist einfach: Zuerst Benutzername und Passwort, dann der aktuelle TOTP-Code aus der Authentifizierungs-App. Konfigurieren Sie dies, bevor Sie fortfahren. Die Durchsetzungseinstellungen folgen später, nach dem Pilotprojekt.

Speichern Sie Wiederherstellungscodes, bevor Sie etwas erzwingen

Bevor 2FA für irgendjemanden verpflichtend wird, muss jeder Benutzer – und vor allem die Administratoren – seine Wiederherstellungscodes generieren und diese an einem sicheren Ort außerhalb des Servers speichern, zum Beispiel ausgedruckt und archiviert oder in einem Passwort-Manager.

Zuerst in einer Pilotgruppe einführen

Schalten Sie 2FA nicht für das gesamte Unternehmen auf einmal ein. Aktivieren Sie es zunächst für eine kleine Pilotgruppe – Ihr eigenes IT-Team ist die natürliche Wahl – und lassen Sie sie es für echte Arbeit nutzen.

Lassen Sie die Pilotgruppe die gesamte Reise testen: Anmeldung mit Passwort und TOTP-Code, Registrierung eines neuen Telefons und Wiedereinstieg mit einem Wiederherstellungscode. Jedes Problem, das Sie hier finden, ist ein Problem, das Sie behoben haben, während nur eine Handvoll Leute betroffen waren, und nicht das ganze Büro an einem Montagmorgen.

Nutzen Sie die Schonfrist und setzen Sie sie dann durch

Sobald das Pilotprojekt abgeschlossen ist, geben Sie allen Benutzern eine Frist bekannt und starten Sie die Schonfrist: Für einen festgelegten Zeitraum werden Benutzer bei der Anmeldung aufgefordert, sich für 2FA anzumelden, können aber trotzdem zugreifen, während sie es einrichten. Teilen Sie das Datum deutlich mit – was ändert sich, bis wann und wo Sie um Hilfe bitten können.

Wenn die Kulanzfrist endet, beginnt die Durchsetzung: Ohne den zweiten Faktor meldet sich niemand bei Jira oder Confluence an. Da der Pilot den Ablauf bereits nachgewiesen hat und die Nachfrist allen Zeit für die Anmeldung gab, sollte der Tag der Durchsetzung ruhig verlaufen.

Halten Sie die Administratorwiederherstellung bereit

Telefone gehen verloren, werden ersetzt und zurückgesetzt. Behandeln Sie Aussperrungen als normales Ereignis und nicht als Ausnahme. Mit dem Administrator-Wiederherstellungspfad setzt ein Administrator den zweiten Faktor eines gesperrten Benutzers zurück, sodass sich der Benutzer bei der nächsten Anmeldung erneut registrieren kann.

Behalten Sie diese Wiederherstellungsroute dokumentiert und getestet, auch nachdem die Durchsetzung abgeschlossen ist, und überprüfen Sie sie erneut, wenn die App aktualisiert wird. Ein 2FA-System, dessen Wiederherstellungspfad noch niemand ausprobiert hat, ist eine Aussperrung, die darauf wartet, geschehen zu können.