Habilite 2FA en Jira y Confluence con miniOrange

Sepa lo que está instalando

Jira y Confluence, autohospedados, no vienen con un sistema completo de aplicación de dos factores para cada usuario listo para usar, razón por la cual este video utiliza la aplicación de autenticación de dos factores miniOrange. Tenga claro lo que eso significa antes de comenzar: miniOrange es un complemento de proveedores externos, no una función creada por Atlassian, y se instala por separado en cada aplicación.

Necesita derechos de administrador en los servidores Jira y Confluence para hacer esto, y la instalación de Jira y la instalación de Confluence son dos trabajos separados: finalizar Jira no activa nada en Confluence.

Instalar la aplicación miniOrange 2FA

Desde el área de administración de aplicaciones de la consola de administración de Jira, busque la aplicación de autenticación de dos factores miniOrange en Atlassian Marketplace e instálela. Las aplicaciones de Marketplace se instalan dentro del propio producto, por lo que no hay nada que descargar a su PC ni nada que copiar en el servidor a mano.

Una vez que Jira haya terminado, repita la misma instalación dentro de Confluence. Continúe con la configuración solo cuando la aplicación se muestre como instalada en ambas aplicaciones.

Configurar TOTP como segundo factor

En la configuración de la aplicación, elija TOTP como segundo factor. Con TOTP, cada usuario se inscribe una vez con una aplicación de autenticación en su teléfono: durante la configuración, el usuario escanea el código que se muestra en la pantalla con la aplicación de autenticación y, a partir de ese momento, la aplicación genera un código nuevo y de corta duración para cada inicio de sesión.

El flujo de inicio de sesión que verán sus usuarios después de esto es simple: primero el nombre de usuario y la contraseña, luego el código TOTP actual de la aplicación de autenticación. Configure esto antes de continuar: la configuración de aplicación de la ley se realizará más adelante, después del piloto.

Guarde los códigos de recuperación antes de aplicar cualquier cosa

Antes de que 2FA sea obligatorio para alguien, cada usuario (y los administradores en primer lugar) deben generar sus códigos de recuperación y almacenarlos en algún lugar seguro fuera del servidor, por ejemplo, impresos y archivados, o en un administrador de contraseñas.

Primero, implemente un grupo piloto

No active 2FA para toda la empresa a la vez. Habilítelo primero para un pequeño grupo piloto (su propio equipo de TI es la opción natural) y haga que lo utilicen para el trabajo real.

Haga que el grupo piloto pruebe el viaje completo: inicie sesión con una contraseña más un código TOTP, registre un teléfono nuevo y vuelva a ingresar con un código de recuperación. Cada problema que encuentre aquí es un problema que ha solucionado mientras solo un puñado de personas se ven afectadas, en lugar de toda la oficina un lunes por la mañana.

Utilice el período de gracia y luego haga cumplir

Una vez que el piloto esté limpio, anuncie una fecha límite a todos los usuarios e inicie el período de gracia: durante un período determinado, se solicita a los usuarios que se inscriban en 2FA al iniciar sesión, pero aún pueden ingresar mientras lo configuran. Comunique la fecha claramente: qué cambiará, cuándo y dónde pedir ayuda.

Cuando finaliza el período de gracia, comienza la aplicación: nadie inicia sesión en Jira o Confluence sin el segundo factor. Debido a que el piloto ya demostró el flujo y el período de gracia les dio a todos tiempo para inscribirse, el día de la aplicación de la ley debería ser tranquilo.

Mantenga lista la recuperación del administrador

Los teléfonos se pierden, se reemplazan y se reinician: trate los bloqueos como un evento normal, no como una excepción. La ruta de recuperación del administrador es la forma en que un administrador restablece el segundo factor de un usuario bloqueado para que el usuario pueda inscribirse nuevamente en el siguiente inicio de sesión.

Mantenga esta ruta de recuperación documentada y probada incluso después de que se complete la aplicación, y vuelva a verificarla cada vez que se actualice la aplicación. Un sistema 2FA cuya ruta de recuperación nadie ha probado es un bloqueo a punto de suceder.