Ota 2FA käyttöön Jira & Confluencessa miniOrangen kanssa

Tiedä, mitä olet asentamassa

Itseisännöidyn Jiran ja Confluencen mukana ei toimiteta täydellistä kaksivaiheista valvontajärjestelmää jokaiselle käyttäjälle, minkä vuoksi tässä videossa käytetään miniOrange-kaksitekijätodennussovellusta. Selvitä, mitä se tarkoittaa ennen kuin aloitat: miniOrange on kolmannen osapuolen toimittajan laajennus, ei Atlassianin kehittämä ominaisuus, ja se asennetaan erikseen jokaiseen sovellukseen.

Tämän tekemiseen tarvitaan järjestelmänvalvojan oikeudet Jira- ja Confluence-palvelimissa, ja Jiran asennus ja Confluence-asennus ovat kaksi erillistä työtä – Jiran viimeistely ei kytke mitään päälle Confluencessa.

Asenna miniOrange 2FA -sovellus

Etsi Jira-hallintakonsolin sovellusten hallinta-alueelta miniOrange-kaksitekijätodennussovellus Atlassian Marketplacesta ja asenna se. Marketplace-sovellukset asennetaan itse tuotteeseen, joten tietokoneellesi ei tarvitse ladata mitään eikä mitään kopioida palvelimelle käsin.

Kun Jira on valmis, toista sama asennus Confluencessa. Jatka määritystä vain, kun sovellus näkyy asennettuna molemmissa sovelluksissa.

Määritä TOTP toiseksi tekijäksi

Valitse sovelluksen määrityksissä TOTP toiseksi tekijäksi. TOTP:ssä jokainen käyttäjä rekisteröityy kerran puhelimeensa autentikointisovelluksella: asennuksen yhteydessä käyttäjä skannaa näytöllä näkyvän koodin todennussovelluksella, ja siitä lähtien sovellus luo uuden, lyhytikäisen koodin jokaiselle kirjautumiselle.

Käyttäjät näkevät tämän jälkeen yksinkertaisen kirjautumisprosessin: ensin käyttäjänimi ja salasana, sitten nykyinen TOTP-koodi todennussovelluksesta. Määritä tämä ennen kuin jatkat – täytäntöönpanoasetukset tulevat myöhemmin, pilotin jälkeen.

Tallenna palautuskoodit ennen kuin pakotat mitään

Ennen kuin 2FA:sta tulee pakollinen kenellekään, jokaisen käyttäjän – ja ennen kaikkea järjestelmänvalvojien – on luotava palautuskoodinsa ja tallennettava ne jonnekin turvalliseen paikkaan palvelimen ulkopuolelle, esimerkiksi tulostettuna ja arkistoituna, tai salasanan hallintaan.

Liitä ensin pilottiryhmään

Älä kytke 2FA:ta päälle koko yritykselle kerralla. Ota se käyttöön ensin pienelle pilottiryhmälle – oma IT-tiimisi on luonnollinen valinta – ja pyydä heitä käyttämään sitä oikeaan työhön.

Pyydä pilottiryhmää testaamaan koko matka: kirjaudu sisään salasanalla ja TOTP-koodilla, rekisteröi uusi puhelin ja pääset takaisin sisään palautuskoodilla. Jokainen täältä löytämäsi ongelma on ongelma, jonka olet korjannut, kun se vaikuttaa vain kouralliseen ihmisiin, ei koko toimistoon maanantaiaamuna.

Käytä lisäaikaa ja sitten pakota

Kun pilotti on valmis, ilmoita kaikille käyttäjille määräajasta ja aloita armonaika: määritetyn ajanjakson aikana käyttäjiä pyydetään rekisteröitymään 2FA:han kirjautumisen yhteydessä, mutta he voivat silti päästä sisään, kun he määrittävät sen. Kerro päivämäärä selkeästi – mikä muuttuu, milloin ja mistä pyytää apua.

Kun lisäaika päättyy, täytäntöönpano alkaa: kukaan ei kirjaudu sisään Jiraan tai Confluenceen ilman toista tekijää. Koska pilotti on jo todennut kulun ja armonaika antoi kaikille aikaa ilmoittautua, täytäntöönpanopäivän tulisi olla hiljainen.

Pidä järjestelmänvalvojan palautus valmiina

Puhelimet katoavat, vaihdetaan ja nollataan – pidä lukituksia normaalina tapahtumana, ei poikkeusna. Järjestelmänvalvojan palautuspolku on tapa, jolla järjestelmänvalvoja nollaa lukitun käyttäjän toisen tekijän, jotta käyttäjä voi rekisteröityä uudelleen seuraavan kirjautumisen yhteydessä.

Pidä tämä palautusreitti dokumentoituna ja testattuna, vaikka täytäntöönpano on suoritettu loppuun, ja tarkista se uudelleen aina, kun sovellus päivitetään. 2FA-järjestelmä, jonka palautuspolkua kukaan ei ole kokeillut, on lukitus, joka odottaa tapahtumista.