Habilite 2FA no Jira e Confluence com miniOrange

Saiba o que você está instalando

O Jira e o Confluence auto-hospedados não vêm com um sistema completo de aplicação de dois fatores para cada usuário pronto para uso. É por isso que este vídeo usa o aplicativo de autenticação de dois fatores miniOrange. Seja claro sobre o que isso significa antes de começar: miniOrange é um plug-in de terceiros, não um recurso desenvolvido pela Atlassian, e é instalado separadamente em cada aplicativo.

Você precisa de direitos de administrador nos servidores Jira e Confluence para fazer isso, e a instalação do Jira e a instalação do Confluence são duas tarefas separadas — terminar o Jira não ativa nada no Confluence.

Instale o aplicativo miniOrange 2FA

Na área de gerenciamento de aplicativos do console de administração do Jira, encontre o aplicativo de autenticação de dois fatores miniOrange no Atlassian Marketplace e instale-o. Os aplicativos do Marketplace são instalados dentro do próprio produto, portanto não há nada para baixar no seu PC e nada para copiar manualmente no servidor.

Depois que o JIRA estiver concluído, repita a mesma instalação dentro do Confluence. Continue a configuração apenas quando o aplicativo aparecer como instalado em ambos os aplicativos.

Configurar TOTP como segundo fator

Na configuração do aplicativo, escolha TOTP como segundo fator. Com o TOTP, cada usuário se inscreve uma vez em um aplicativo autenticador em seu telefone: na configuração, o usuário escaneia o código mostrado na tela com o aplicativo autenticador e, a partir de então, o aplicativo gera um código novo e de curta duração para cada login.

O fluxo de login que seus usuários verão depois disso é simples: primeiro nome de usuário e senha, depois o código TOTP atual do aplicativo autenticador. Configure isso antes de prosseguir. As configurações de aplicação vêm mais tarde, após o piloto.

Salve os códigos de recuperação antes de aplicar qualquer coisa

Antes que o 2FA se torne obrigatório para qualquer pessoa, cada usuário — e os administradores em primeiro lugar — deve gerar seus códigos de recuperação e armazená-los em algum lugar seguro fora do servidor, por exemplo, impresso e arquivado, ou em um gerenciador de senhas.

Implementar primeiro para um grupo piloto

Não ative a 2FA para toda a empresa de uma só vez. Habilite-o primeiro para um pequeno grupo piloto (sua própria equipe de TI é a escolha natural) e faça com que eles o usem no trabalho real.

Faça com que o grupo piloto teste a jornada completa: faça login com senha e código TOTP, registre um novo telefone e volte com um código de recuperação. Cada problema que você encontra aqui é um problema que você resolveu enquanto apenas algumas pessoas foram afetadas, em vez de todo o escritório na manhã de segunda-feira.

Use o período de carência e depois aplique

Assim que o piloto estiver concluído, anuncie um prazo para todos os usuários e inicie o período de carência: durante um período definido, os usuários serão solicitados a se inscrever no 2FA no login, mas ainda poderão entrar enquanto o configuram. Comunique a data claramente: o que está mudando, quando e onde pedir ajuda.

Quando o período de carência termina, a aplicação começa: ninguém faz login no Jira ou no Confluence sem o segundo fator. Como o piloto já comprovou o fluxo e o período de carência deu a todos tempo para se inscrever, o dia da aplicação deve ser tranquilo.

Mantenha a recuperação do administrador pronta

Telefones são perdidos, substituídos e reiniciados. Trate os bloqueios como um evento normal, não como uma exceção. O caminho de recuperação do administrador é como um administrador redefine o segundo fator de um usuário bloqueado para que o usuário possa se inscrever novamente no próximo login.

Mantenha essa rota de recuperação documentada e testada mesmo após a conclusão da aplicação e verifique-a novamente sempre que o aplicativo for atualizado. Um sistema 2FA cujo caminho de recuperação ninguém tentou é um bloqueio esperando para acontecer.