Włącz 2FA w Jira i Confluence z miniOrange

Dowiedz się, co instalujesz

Jira i Confluence na własnym serwerze nie są dostarczane z pełnym systemem egzekwowania zasad dwuskładnikowych dla każdego użytkownika od razu po wyjęciu z pudełka, dlatego w tym filmie wykorzystano aplikację do uwierzytelniania dwuskładnikowego miniOrange. Zanim zaczniesz, wyjaśnij, co to oznacza: miniOrange to wtyczka innej firmy, a nie funkcja stworzona przez firmę Atlassian i jest instalowana osobno w każdej aplikacji.

Aby to zrobić, potrzebujesz uprawnień administratora na serwerach Jira i Confluence, a instalacja Jira i instalacja Confluence to dwa osobne zadania — zakończenie Jira nie włącza niczego w Confluence.

Zainstaluj aplikację miniOrange 2FA

W obszarze zarządzania aplikacjami w konsoli administracyjnej Jira znajdź aplikację do uwierzytelniania dwuskładnikowego miniOrange w Atlassian Marketplace i zainstaluj ją. Aplikacje z Marketplace instalują się wewnątrz samego produktu, więc nie trzeba nic pobierać na komputer ani ręcznie kopiować na serwer.

Po zakończeniu Jira powtórz tę samą instalację w Confluence. Kontynuuj konfigurację dopiero wtedy, gdy w obu aplikacjach aplikacja wyświetli się jako zainstalowana.

Skonfiguruj TOTP jako drugi czynnik

W konfiguracji aplikacji wybierz TOTP jako drugi czynnik. Dzięki TOTP każdy użytkownik rejestruje się raz w aplikacji uwierzytelniającej na swoim telefonie: podczas konfiguracji użytkownik skanuje kod wyświetlany na ekranie za pomocą aplikacji uwierzytelniającej i od tego momentu aplikacja generuje nowy, krótkotrwały kod przy każdym logowaniu.

Przebieg logowania, jaki zobaczą użytkownicy, jest prosty: najpierw nazwa użytkownika i hasło, a następnie bieżący kod TOTP z aplikacji uwierzytelniającej. Skonfiguruj to, zanim przejdziesz dalej — ustawienia egzekwowania zostaną wprowadzone później, po zakończeniu pilotażu.

Zapisz kody odzyskiwania przed egzekwowaniem czegokolwiek

Zanim 2FA stanie się dla kogokolwiek obowiązkowe, każdy użytkownik — a przede wszystkim administratorzy — musi wygenerować swoje kody odzyskiwania i przechowywać je w bezpiecznym miejscu poza serwerem, na przykład wydrukować i złożyć lub w menedżerze haseł.

Najpierw przeprowadź wdrożenie w grupie pilotażowej

Nie włączaj 2FA na raz dla całej firmy. Włącz tę funkcję najpierw dla małej grupy pilotażowej — Twój własny zespół IT to naturalny wybór — i pozwól jej używać jej do prawdziwej pracy.

Poproś grupę pilotażową o przetestowanie całej podróży: zalogowania się za pomocą hasła i kodu TOTP, zarejestrowania nowego telefonu i ponownego zalogowania się za pomocą kodu odzyskiwania. Każdy problem, który tu znajdziesz, jest problemem, który rozwiązałeś i dotyczy on tylko kilku osób, a nie całego biura w poniedziałkowy poranek.

Skorzystaj z okresu karencji, a następnie egzekwuj

Gdy program pilotażowy będzie gotowy, ogłoś wszystkim użytkownikom ostateczny termin i rozpocznij okres karencji: w przypadku ustawionego okna użytkownicy są proszeni o zarejestrowanie się w usłudze 2FA przy logowaniu, ale nadal mogą się do niej zalogować podczas konfiguracji. Jasno podaj datę – co się zmieni, kiedy i gdzie poprosić o pomoc.

Po upływie okresu karencji rozpoczyna się egzekwowanie prawa: nikt nie loguje się do Jira ani Confluence bez drugiego czynnika. Ponieważ program pilotażowy już wykazał skuteczność, a okres karencji dał wszystkim czas na zapisanie się, dzień wdrożenia powinien przebiegać spokojnie.

Przygotuj administratora do odzyskiwania

Telefony gubią się, są wymieniane i resetowane — blokady traktuj jako normalne zdarzenie, a nie wyjątek. Ścieżka odzyskiwania administratora to sposób, w jaki administrator resetuje drugi czynnik zablokowanego użytkownika, aby użytkownik mógł zarejestrować się ponownie przy następnym logowaniu.

Udokumentuj i przetestuj tę ścieżkę odzyskiwania nawet po zakończeniu egzekwowania zasad i sprawdzaj ją ponownie przy każdej aktualizacji aplikacji. System 2FA, którego ścieżki odzyskiwania nikt nie wypróbował, czeka na blokadę.