Schakel 2FA in Jira & Confluence in met miniOrange

Weet wat u installeert

Zelf gehoste Jira en Confluence worden niet kant-en-klaar geleverd met een volledig tweefactorig handhavingssysteem voor elke gebruiker. Daarom gebruikt deze video de miniOrange tweefactorauthenticatie-app. Wees duidelijk over wat dat betekent voordat u begint: miniOrange is een plug-in van een derde partij, geen functie die door Atlassian is gebouwd, en wordt in elke toepassing afzonderlijk geïnstalleerd.

Je hebt hiervoor beheerdersrechten nodig op de Jira- en Confluence-servers, en de Jira-installatie en de Confluence-installatie zijn twee afzonderlijke taken. Als je Jira voltooit, wordt er niets ingeschakeld in Confluence.

Installeer de miniOrange 2FA-app

Zoek in het app-beheergedeelte van de Jira-beheerconsole de miniOrange-app voor tweefactorauthenticatie op de Atlassian Marketplace en installeer deze. Marketplace-apps worden in het product zelf geïnstalleerd, dus u hoeft niets naar uw pc te downloaden en niets handmatig naar de server te kopiëren.

Zodra Jira klaar is, herhaalt u dezelfde installatie binnen Confluence. Ga alleen verder met configureren als de app in beide applicaties als geïnstalleerd wordt weergegeven.

Configureer TOTP als de tweede factor

Kies in de app-configuratie TOTP als tweede factor. Bij TOTP schrijft elke gebruiker zich één keer in met een authenticator-app op zijn telefoon: bij het instellen scant de gebruiker de code die op het scherm wordt weergegeven met de authenticator-app, en vanaf dat moment genereert de app voor elke login een nieuwe, kortstondige code.

Het inlogproces dat uw gebruikers hierna te zien krijgen, is eenvoudig: eerst gebruikersnaam en wachtwoord, daarna de huidige TOTP-code van de authenticator-app. Configureer dit voordat u verder gaat. De handhavingsinstellingen komen later, na de pilot.

Sla herstelcodes op voordat u iets afdwingt

Voordat 2FA voor iedereen verplicht wordt, moet elke gebruiker (en in de eerste plaats de beheerders) zijn herstelcodes genereren en deze ergens veilig buiten de server opslaan, bijvoorbeeld afgedrukt en opgeslagen, of in een wachtwoordbeheerder.

Eerst uitrollen naar een pilotgroep

Zet 2FA niet in één keer aan voor het hele bedrijf. Schakel het eerst in voor een kleine pilotgroep (uw eigen IT-team is de logische keuze) en laat ze het gebruiken voor het echte werk.

Laat de pilotgroep het volledige traject testen: inloggen met wachtwoord plus TOTP-code, een nieuwe telefoon inschrijven en weer inloggen met een herstelcode. Elk probleem dat u hier aantreft, is een probleem dat u heeft opgelost terwijl slechts een handjevol mensen er last van heeft, in plaats van het hele kantoor op maandagochtend.

Gebruik de respijtperiode en dwing deze vervolgens af

Zodra de pilot klaar is, kondigt u een deadline aan aan alle gebruikers en start u de respijtperiode: gedurende een bepaalde periode worden gebruikers bij het inloggen gevraagd zich in te schrijven voor 2FA, maar kunnen ze nog steeds binnenkomen terwijl ze dit instellen. Communiceer de datum duidelijk: wat verandert er, tegen wanneer en waar u om hulp kunt vragen.

Wanneer de respijtperiode afloopt, begint de handhaving: niemand logt in bij Jira of Confluence zonder de tweede factor. Omdat de pilot de flow al had bewezen en de uitstelperiode iedereen de tijd gaf om zich in te schrijven, zou de handhavingsdag rustig moeten zijn.

Houd het beheerdersherstel gereed

Telefoons raken zoek, worden vervangen en worden gereset. Beschouw lock-outs als een normale gebeurtenis en niet als een uitzondering. Via het beheerdersherstelpad reset een beheerder de tweede factor van een uitgesloten gebruiker, zodat de gebruiker zich bij de volgende login opnieuw kan inschrijven.

Houd deze herstelroute gedocumenteerd en getest, zelfs nadat de handhaving is voltooid, en controleer deze opnieuw wanneer de app wordt bijgewerkt. Een 2FA-systeem waarvan niemand het herstelpad heeft geprobeerd, is een lock-out die nog moet plaatsvinden.