Abilita 2FA in Jira e Confluence con miniOrange

Sapere cosa stai installando

Jira e Confluence self-hosted non vengono forniti con un sistema completo di applicazione a due fattori per ogni utente pronto all'uso, motivo per cui questo video utilizza l'app di autenticazione a due fattori miniOrange. Sii chiaro su cosa significa prima di iniziare: miniOrange è un plug-in di fornitori di terze parti, non una funzionalità creata da Atlassian, ed è installato separatamente in ciascuna applicazione.

Per eseguire questa operazione sono necessari i diritti di amministratore sui server Jira e Confluence e l'installazione di Jira e l'installazione di Confluence sono due lavori separati: il completamento di Jira non attiva nulla in Confluence.

Installa l'app miniOrange 2FA

Dall'area di gestione delle app della console di amministrazione Jira, trova l'app di autenticazione a due fattori miniOrange su Atlassian Marketplace e installala. Le app del Marketplace si installano all'interno del prodotto stesso, quindi non c'è nulla da scaricare sul PC e nulla da copiare manualmente sul server.

Una volta terminato Jira, ripeti la stessa installazione all'interno di Confluence. Continua con la configurazione solo quando l'app risulta installata in entrambe le applicazioni.

Configura TOTP come secondo fattore

Nella configurazione dell'app, scegli TOTP come secondo fattore. Con TOTP, ogni utente si registra una volta con un'app di autenticazione sul proprio telefono: al momento della configurazione l'utente scansiona il codice mostrato sullo schermo con l'app di autenticazione e da quel momento in poi l'app genera un nuovo codice di breve durata per ogni accesso.

Il flusso di accesso che i tuoi utenti vedranno dopo è semplice: prima nome utente e password, poi il codice TOTP corrente dall'app di autenticazione. Configuralo prima di procedere: le impostazioni di applicazione verranno fornite più tardi, dopo il progetto pilota.

Salva i codici di ripristino prima di applicare qualsiasi cosa

Prima che la 2FA diventi obbligatoria per chiunque, ogni utente, e prima di tutto gli amministratori, deve generare i propri codici di ripristino e archiviarli in un posto sicuro al di fuori del server, ad esempio stampati e archiviati, o in un gestore di password.

Distribuisci prima a un gruppo pilota

Non attivare la 2FA per l'intera azienda contemporaneamente. Abilitalo prima per un piccolo gruppo pilota (il tuo team IT è la scelta naturale) e chiedi loro di usarlo per il lavoro reale.

Chiedi al gruppo pilota di testare il percorso completo: accedere con password più codice TOTP, registrare un nuovo telefono e rientrare con un codice di ripristino. Ogni problema che trovi qui è un problema che hai risolto mentre solo una manciata di persone ne sono interessate, anziché l'intero ufficio il lunedì mattina.

Utilizza il periodo di grazia, quindi applicalo

Una volta che il progetto pilota è terminato, annuncia una scadenza a tutti gli utenti e avvia il periodo di grazia: per una finestra prestabilita, agli utenti viene richiesto di iscriversi a 2FA al momento dell'accesso ma possono comunque accedervi mentre lo configurano. Comunica chiaramente la data: cosa cambierà, entro quando e dove chiedere aiuto.

Al termine del periodo di grazia, inizia l'applicazione: nessuno accede a Jira o Confluence senza il secondo fattore. Poiché il progetto pilota ha già dimostrato il flusso e il periodo di grazia ha dato a tutti il tempo di iscriversi, il giorno dell'applicazione dovrebbe essere tranquillo.

Mantieni pronto il ripristino dell'amministratore

I telefoni vengono smarriti, sostituiti e ripristinati: considera i blocchi come un evento normale, non come un'eccezione. Il percorso di ripristino dell'amministratore è il modo in cui un amministratore reimposta il secondo fattore di un utente bloccato in modo che l'utente possa registrarsi nuovamente all'accesso successivo.

Mantieni questo percorso di ripristino documentato e testato anche dopo il completamento dell'applicazione e ricontrollalo ogni volta che l'app viene aggiornata. Un sistema 2FA il cui percorso di ripristino nessuno ha provato è un blocco in attesa di verificarsi.