Увімкніть 2FA у Jira & Confluence за допомогою miniOrange

Знайте, що ви встановлюєте

Власні Jira та Confluence не постачаються з повною двофакторною системою контролю для кожного користувача, тому в цьому відео використовується програма двофакторної автентифікації miniOrange. Перш ніж почати, поясніть, що це означає: miniOrange — це плагін стороннього постачальника, а не функція, розроблена Atlassian, і вона встановлюється окремо в кожній програмі.

Для цього вам потрібні права адміністратора на серверах Jira та Confluence, а встановлення Jira та встановлення Confluence — це дві окремі роботи — завершення Jira не вмикає нічого в Confluence.

Установіть додаток miniOrange 2FA

З області керування додатками на консолі адміністратора Jira знайдіть програму двофакторної автентифікації miniOrange на Atlassian Marketplace та встановіть її. Програми Marketplace встановлюються всередині самого продукту, тому не потрібно нічого завантажувати на ваш ПК і копіювати на сервер вручну.

Після завершення Jira повторіть ту саму інсталяцію в Confluence. Продовжуйте конфігурацію лише тоді, коли програма відображається як встановлена в обох програмах.

Налаштуйте TOTP як другий фактор

У конфігурації програми виберіть TOTP як другий фактор. За допомогою TOTP кожен користувач реєструється один раз за допомогою програми автентифікації на своєму телефоні: під час налаштування користувач сканує код, показаний на екрані, за допомогою програми автентифікації, а потім програма генерує новий, короткочасний код для кожного входу.

Потік входу, який побачать ваші користувачі після цього, простий: спочатку ім’я користувача та пароль, а потім поточний код TOTP із програми автентифікації. Налаштуйте це, перш ніж рухатися далі — параметри примусового виконання з’являться пізніше, після пілотної версії.

Збережіть коди відновлення, перш ніж щось застосовувати

До того, як 2FA стане обов’язковим для будь-кого, кожен користувач — і адміністратори в першу чергу — повинен створити свої коди відновлення та зберігати їх десь у безпечному місці за межами сервера, наприклад, роздрукувати та заархівувати, або в менеджері паролів.

Спочатку розгортайте в пілотній групі

Не вмикайте 2FA для всієї компанії одночасно. Спочатку ввімкніть його для невеликої пілотної групи — ваша власна ІТ-команда є природним вибором — і нехай вони використають його для реальної роботи.

Попросіть пілотну групу перевірити всю подорож: увійти в систему за допомогою пароля та коду TOTP, зареєструвати новий телефон і повернутися за допомогою коду відновлення. Кожна проблема, яку ви тут знаходите, — це проблема, яку ви вирішували, хоча вона торкнулася лише кількох людей, а не всього офісу вранці понеділка.

Використайте пільговий період, а потім примусово

Після завершення пілотного тестування оголосите кінцевий термін для всіх користувачів і почніть пільговий період: протягом встановленого періоду користувачам пропонується зареєструватися в 2FA під час входу, але вони все ще можуть увійти, поки вони його налаштовують. Чітко повідомте дату — що зміниться, до якого часу та куди звернутися по допомогу.

Коли пільговий період закінчується, починається примусове виконання: ніхто не входить до Jira або Confluence без другого фактора. Оскільки пілот уже довів потік, а пільговий період дав усім час для реєстрації, день примусового виконання повинен бути спокійним.

Підтримуйте відновлення адміністратора

Телефони втрачаються, замінюються та скидаються — розглядайте блокування як звичайну подію, а не виняток. Шлях відновлення адміністратора – це те, як адміністратор скидає другий фактор заблокованого користувача, щоб користувач міг знову зареєструватися під час наступного входу.

Зберігайте цей шлях відновлення задокументованим і перевіреним навіть після завершення примусового виконання та перевіряйте його щоразу, коли програма оновлюється. Система 2FA, чий шлях відновлення ніхто не пробував, є блокуванням, яке чекає.