Activer 2FA dans Jira et Confluence avec miniOrange

Sachez ce que vous installez

Jira et Confluence auto-hébergés ne sont pas livrés avec un système complet d'application à deux facteurs pour chaque utilisateur, c'est pourquoi cette vidéo utilise l'application d'authentification à deux facteurs miniOrange. Soyez clair sur ce que cela signifie avant de commencer : miniOrange est un plug-in d'un fournisseur tiers, et non une fonctionnalité créée par Atlassian, et il est installé séparément dans chaque application.

Vous avez besoin de droits d'administrateur sur les serveurs Jira et Confluence pour ce faire, et l'installation de Jira et celle de Confluence sont deux tâches distinctes : terminer Jira n'active rien dans Confluence.

Installez l'application miniOrange 2FA

Dans la zone de gestion des applications de la console d'administration Jira, recherchez l'application d'authentification à deux facteurs miniOrange sur Atlassian Marketplace et installez-la. Les applications Marketplace s'installent à l'intérieur du produit lui-même, il n'y a donc rien à télécharger sur votre PC ni rien à copier manuellement sur le serveur.

Une fois Jira terminé, répétez la même installation dans Confluence. Poursuivez la configuration uniquement lorsque l'application apparaît comme installée dans les deux applications.

Configurer TOTP comme deuxième facteur

Dans la configuration de l'application, choisissez TOTP comme deuxième facteur. Avec TOTP, chaque utilisateur s'inscrit une fois avec une application d'authentification sur son téléphone : lors de la configuration, l'utilisateur scanne le code affiché à l'écran avec l'application d'authentification, et à partir de là, l'application génère un nouveau code de courte durée pour chaque connexion.

Le flux de connexion que vos utilisateurs verront ensuite est simple : le nom d'utilisateur et le mot de passe d'abord, puis le code TOTP actuel de l'application d'authentification. Configurez-le avant de poursuivre : les paramètres d'application seront définis plus tard, après le projet pilote.

Enregistrez les codes de récupération avant d'appliquer quoi que ce soit

Avant que la 2FA ne devienne obligatoire pour quiconque, chaque utilisateur — et les administrateurs en premier — doit générer ses codes de récupération et les stocker dans un endroit sûr en dehors du serveur, par exemple imprimés et archivés, ou dans un gestionnaire de mots de passe.

Déployer d'abord vers un groupe pilote

N'activez pas la 2FA pour toute l'entreprise en même temps. Activez-le d'abord pour un petit groupe pilote (votre propre équipe informatique est le choix naturel) et demandez-lui de l'utiliser pour un travail réel.

Demandez au groupe pilote de tester le parcours complet : connexion avec un mot de passe et un code TOTP, enregistrement d'un nouveau téléphone et reconnexion avec un code de récupération. Chaque problème que vous rencontrez ici est un problème que vous avez résolu alors que seule une poignée de personnes est affectée, au lieu de tout le bureau un lundi matin.

Utilisez le délai de grâce, puis appliquez-le

Une fois le pilote terminé, annoncez une date limite à tous les utilisateurs et démarrez le délai de grâce : pendant une fenêtre définie, les utilisateurs sont invités à s'inscrire à 2FA lors de la connexion, mais peuvent toujours y accéder pendant qu'ils le configurent. Communiquez clairement la date : ce qui change, quand et où demander de l'aide.

Lorsque la période de grâce prend fin, l'application commence : personne ne se connecte à Jira ou Confluence sans le deuxième facteur. Étant donné que le projet pilote a déjà prouvé son efficacité et que le délai de grâce a donné à chacun le temps de s'inscrire, la journée d'application devrait être calme.

Garder la récupération de l'administrateur prête

Les téléphones sont perdus, remplacés et réinitialisés : traitez les verrouillages comme un événement normal et non comme une exception. Le chemin de récupération de l'administrateur est la façon dont un administrateur réinitialise le deuxième facteur d'un utilisateur verrouillé afin que l'utilisateur puisse se réinscrire lors de la prochaine connexion.

Conservez cette procédure de récupération documentée et testée même une fois l'application terminée, et revérifiez-la chaque fois que l'application est mise à jour. Un système 2FA dont personne n'a essayé le chemin de récupération est un verrouillage imminent.