miniOrange を使用して Jira と Confluence で 2FA を有効にする

何をインストールしているのかを把握する

セルフホスト型 Jira と Confluence には、すべてのユーザーに対して完全な 2 要素強制システムが最初から付属しているわけではありません。そのため、このビデオでは miniOrange 2 要素認証アプリを使用しています。開始する前に、その意味を明確にしてください。miniOrange はサードパーティ ベンダーのプラグインであり、アトラシアンが構築した機能ではなく、各アプリケーションに個別にインストールされます。

これを行うには、Jira サーバーと Confluence サーバーの管理者権限が必要です。Jira のインストールと Confluence のインストールは 2 つの別個のジョブです。Jira を終了しても、Confluence では何もオンになりません。

miniOrange 2FA アプリをインストールします

Jira 管理コンソールのアプリ管理領域から、Atlassian Marketplace で miniOrange 2 要素認証アプリを見つけてインストールします。マーケットプレイス アプリは製品自体の内部にインストールされるため、PC にダウンロードしたり、手動でサーバーにコピーしたりする必要はありません。

Jira が完了したら、Confluence 内で同じインストールを繰り返します。アプリが両方のアプリケーションにインストールされていると表示される場合にのみ、設定を続行してください。

TOTP を 2 番目の要素として構成する

アプリ構成で、2 番目の要素として TOTP を選択します。 TOTP を使用すると、各ユーザーは自分の携帯電話の認証アプリを使用して 1 回登録します。セットアップ時に、ユーザーは画面に表示されたコードを認証アプリでスキャンし、それ以降、アプリはログインごとに有効期間の短い新しいコードを生成します。

この後にユーザーに表示されるログイン フローは単純です。最初にユーザー名とパスワード、次に認証アプリからの現在の TOTP コードです。次に進む前にこれを設定します。施行設定はパイロットの後に行われます。

何かを強制する前にリカバリ コードを保存してください

2FA が誰にとっても義務化される前に、すべてのユーザー、そして何よりもまず管理者が自分のリカバリ コード を生成し、サーバー外部の安全な場所 (たとえば、印刷してファイルしたり、パスワード マネージャーに保存したり) に保存する必要があります。

まずパイロット グループにロールアウトします

会社全体で 2FA を一度にオンにしないでください。まず小規模なパイロット グループ (自社の IT チームが自然な選択です) で有効にして、実際の作業に使用してもらいます。

パイロット グループに、パスワードと TOTP コードを使用してログインし、新しい電話を登録し、リカバリ コードを使用して再度ログインするという完全な手順をテストしてもらいます。ここで見つかったすべての問題は、月曜日の朝にオフィス全体が影響を受けるのではなく、少数の人だけが影響を受ける間に修正した問題です。

猶予期間を使用してから強制する

パイロットが完了したら、すべてのユーザーに期限を通知し、猶予期間を開始します。設定された期間中、ユーザーはログイン時に 2FA に登録するよう求められますが、セットアップ中はまだ登録できます。日付を明確に伝えます。つまり、何が変更されるのか、いつまでに変更されるのか、どこに助けを求めるべきなのかを伝えます。

猶予期間が終了すると、強制が開始されます。2 番目の要素がなければ、誰も Jira または Confluence にログインできません。試験運用ではすでにフローが証明されており、猶予期間により全員に登録する時間が与えられたため、施行日は静かになるはずです。

管理者のリカバリを準備しておいてください

携帯電話は紛失、交換、リセットされます。ロックアウトは例外ではなく通常のイベントとして扱います。管理者回復パスは、管理者がロックアウトされたユーザーの 2 番目の要素をリセットして、ユーザーが次回ログイン時に新たに再登録できるようにする方法です。

適用が完了した後もこの回復ルートを文書化してテストし、アプリが更新されるたびに再確認してください。誰も試したことのない回復パスを持つ 2FA システムは、ロックアウトが起こるのを待っていることになります。