Включите 2FA в Jira и Confluence с помощью miniOrange

Знайте, что вы устанавливаете

Jira и Confluence с автономным размещением не поставляются с полной двухфакторной системой принудительного применения для каждого пользователя, поэтому в этом видео используется приложение двухфакторной аутентификации miniOrange. Прежде чем приступить к работе, уясните, что это означает: miniOrange — это плагин стороннего поставщика, а не функция, созданная Atlassian, и он устанавливается отдельно в каждое приложение.

Для этого вам потребуются права администратора на серверах Jira и Confluence, а установка Jira и установка Confluence — это две отдельные задачи — завершение Jira ничего не включает в Confluence.

Установите приложение miniOrange 2FA

В области управления приложениями консоли администратора Jira найдите приложение двухфакторной аутентификации miniOrange на Atlassian Marketplace и установите его. Приложения Marketplace устанавливаются внутри самого продукта, поэтому не нужно ничего скачивать на компьютер и копировать на сервер вручную.

После завершения работы Jira повторите ту же установку внутри Confluence. Продолжайте настройку только тогда, когда приложение отображается как установленное в обоих приложениях.

Настройте TOTP в качестве второго фактора

В конфигурации приложения выберите TOTP в качестве второго фактора. При использовании TOTP каждый пользователь регистрируется один раз с помощью приложения для проверки подлинности на своем телефоне: при настройке пользователь сканирует код, отображаемый на экране, с помощью приложения для проверки подлинности, и с этого момента приложение генерирует новый кратковременный код для каждого входа в систему.

Последовательность входа в систему, которую увидят ваши пользователи после этого, проста: сначала имя пользователя и пароль, затем текущий код TOTP из приложения для аутентификации. Настройте это, прежде чем двигаться дальше: настройки принудительного применения появятся позже, после пилотной версии.

Сохраните коды восстановления, прежде чем что-либо предпринимать

Прежде чем 2FA станет обязательным для всех, каждый пользователь — и в первую очередь администраторы — должен сгенерировать свои коды восстановления и сохранить их где-нибудь в безопасном месте за пределами сервера, например распечатать и сохранить или в менеджере паролей.

Сначала внедрите в пилотную группу

Не включайте 2FA сразу для всей компании. Сначала включите его для небольшой пилотной группы (естественным выбором будет ваша собственная ИТ-команда) и предложите им использовать его в реальной работе.

Предложите пилотной группе протестировать весь путь: вход в систему с паролем и кодом TOTP, регистрацию нового телефона и повторный вход с кодом восстановления. Каждая проблема, которую вы здесь найдете, — это проблема, которую вы исправили, но она затронула лишь горстку людей, а не весь офис в понедельник утром.

Используйте льготный период, а затем примените

Как только пилотный проект будет завершен, объявите крайний срок всем пользователям и начните льготный период: в течение определенного периода пользователям предлагается зарегистрироваться в двухфакторной аутентификации при входе в систему, но они все еще могут войти, пока они ее настраивают. Четко сообщите дату — что изменится, когда и куда обратиться за помощью.

Когда льготный период заканчивается, начинается принудительное исполнение: никто не входит в Jira или Confluence без второго фактора. Поскольку пилотный проект уже подтвердил поток, а льготный период дал всем время для регистрации, день принудительного исполнения должен быть тихим.

Поддерживайте готовность администратора к восстановлению

Телефоны теряются, заменяются и сбрасываются. Относитесь к блокировке как к нормальному событию, а не как к исключению. Путь восстановления администратора — это способ, которым администратор сбрасывает второй фактор заблокированного пользователя, чтобы пользователь мог снова зарегистрироваться при следующем входе в систему.

Сохраняйте этот маршрут восстановления документированным и проверяемым даже после завершения принудительного применения, и перепроверяйте его при каждом обновлении приложения. Система 2FA, путь восстановления которой никто не пробовал, представляет собой ожидающую блокировку.