Wymagaj uwierzytelniania dwuskładnikowego dla użytkowników Nextcloud

Aby wymusić uwierzytelnianie dwuskładnikowe (2FA) w NextCloud, najpierw włącz co najmniej jednego dostawcę 2FA, a następnie włącz wymuszanie w Ustawieniach administracyjnych → Bezpieczeństwo lub użyj occ twofactorauth:enforcepolecenia. Dostawca to metoda dostarczająca drugi dowód tożsamości, taki jak jednorazowy kod z aplikacji uwierzytelniającej. Wymuszanie sprawia, że ​​2FA jest obowiązkowe dla wybranego zakresu; samo zainstalowanie dostawcy nie jest obowiązkowe. Te kroki są zgodne z aktualną instrukcją administratora NextCloud 35.

Dowiedz się, jakie zmiany w egzekwowaniu prawa

Nextcloud oddziela dostępność dostawcy od wymogu korzystania z uwierzytelniania dwuskładnikowego (2FA). Administratorzy najpierw włączają dostawcę, a następnie użytkownik aktywuje metodę na swoim koncie. Ewentualnie administrator wymusza uwierzytelnianie dwuskładnikowe, więc użytkownicy muszą dokończyć konfigurację. Wbudowany dostawca TOTP obsługuje kody czasowe generowane przez kompatybilną aplikację uwierzytelniającą. W Nextcloud 35 jest on zainstalowany, ale domyślnie wyłączony. Dostawca kodów zapasowych jest zawsze włączony i zapewnia użytkownikom jednorazowe kody odzyskiwania.

Przed włączeniem wymogu dla dużej grupy należy zdecydować, czy ma on dotyczyć każdego konta, czy tylko grupy pilotażowej. Należy również zidentyfikować konta usług, integracji i administratorów awaryjnych. Szeroka reguła może uniemożliwić dostęp użytkownikom, którzy jeszcze się nie zarejestrowali lub nie mogą osiągnąć swojego poziomu. Oficjalny przewodnik NextCloud opisuje wybór i wykluczenia grup; członkostwo w wybranej grupie ma pierwszeństwo, jeśli użytkownik znajduje się również w wykluczonej grupie. Przed zastosowaniem zasady należy sprawdzić członkostwo.

Przygotuj dostawcę i ścieżkę odzyskiwania

1. Zaloguj się jako administrator Nextcloud i otwórz Aplikacje . Włącz dostawcę TOTP dwuskładnikowego uwierzytelniania, jeśli planujesz używać kodów uwierzytelniających. Dokładny układ menu może się nieznacznie różnić w zależności od obsługiwanych wersji serwerów i motywów.
2. Zapewnij dostępność dostawcy kodu zapasowego. Poproś użytkownika pilotażowego o otwarcie ustawień osobistych, skonfigurowanie uwierzytelniania dwuskładnikowego i wygenerowanie kodów zapasowych. Instrukcja obsługi NextCloud zaleca przechowywanie kodów jednorazowych w bezpiecznym miejscu, z dala od urządzenia uwierzytelniającego.
3. Przetestuj logowanie tego użytkownika w osobnej sesji przeglądarki: wyloguj się, zaloguj ponownie i sprawdź, czy monit o weryfikację dwuskładnikową akceptuje aktualny kod. Jeśli użytkownicy korzystają z komputerów stacjonarnych lub urządzeń mobilnych, sprawdź również ich proces logowania. Nextcloud zauważa, że ​​klienci, którzy nie obsługują uwierzytelniania dwuskładnikowego, mogą potrzebować haseł specyficznych dla danego urządzenia.

Nie wyłączaj ani nie odinstalowuj dostawcy, którego użytkownicy już zarejestrowali, bez zaplanowania migracji. Podręcznik administratora ostrzega, że ​​NextCloud zachowuje powiązania z dostawcami; usunięcie aplikacji może spowodować, że użytkownicy zobaczą ostrzeżenie o niedostępności podczas logowania. Jeśli dostawca zostanie trwale usunięty, zapoznaj się z udokumentowaną procedurą czyszczenia i pamiętaj, że jest to nieodwracalne.

Wymuś uwierzytelnianie dwuskładnikowe w interfejsie administratora

1. Otwórz Ustawienia administracyjne → Bezpieczeństwo .
2. Znajdź mechanizmy wymuszania uwierzytelniania dwuskładnikowego. Wybierz, czy chcesz wymusić uwierzytelnianie dwuskładnikowe w całym systemie, wybierz grupy, które muszą z niego korzystać, i dodaj wykluczenia tylko tam, gdzie wymagają tego zasady.
3. Zapisz lub zastosuj ustawienie, jeśli interfejs wyświetla kontrolkę zapisu, a następnie przetestuj zwykłe konto w zakresie wymuszonym i konto spoza zakresu.

Jeśli nie wybrano żadnej grupy, NextCloud wymusza uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich z wyjątkiem członków grup wykluczonych. Jeśli wybierzesz grupy, wymusza uwierzytelnianie dwuskładnikowe dla członków tych grup. Jeśli ktoś należy zarówno do grupy wybranej, jak i wykluczonej, wygrywa ta wybrana, więc wymóg nadal obowiązuje. Te reguły sprawiają, że ważne jest sprawdzenie członkostwa w grupach zagnieżdżonych lub zsynchronizowanych przed włączeniem egzekwowania.

Użyj occ, gdy potrzebujesz powtarzalnej polityki

occto narzędzie administracyjne Nextcloud z wiersza poleceń. Uruchom polecenia z katalogu instalacyjnego Nextcloud jako użytkownik serwera WWW; użytkownik i ścieżka mogą się różnić w zależności od metody instalacji. Poniższe przykłady wykorzystują udokumentowane konto w stylu Debian lub Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Zastąp identyfikatory grup i identyfikator użytkownika wartościami istniejącymi na serwerze. Przykładowa polityka wymusza uwierzytelnianie dwuskładnikowe (2FA) dla członków staffi admins; nie jest to uniwersalna rekomendacja wykluczania kont usług. Wyklucz konto dopiero po ustaleniu sposobu uwierzytelniania i zabezpieczeń kompensacyjnych. Dokumenty NextCloud --offzalecają wyłączenie egzekwowania, ale należy to traktować jako planowane wycofanie, a nie jako substytut testowania:

sudo -E -u www-data php occ twofactorauth:enforce --off

Aktualną składnię poleceń użytkownika i grupy można znaleźć w oficjalnym dokumencie Nextcloud 35. Instalacje kontenerowe, snap i inne mogą wymagać innego prefiksu polecenia lub kontekstu wykonania; postępuj zgodnie z instrukcjami dla swojego wdrożenia, zamiast dosłownie kopiować przykład.

Sprawdź wdrożenie i unikaj blokad

Sprawdź stan egzekwowania dla użytkowników reprezentatywnych za pomocą occ twofactorauth:state <uid>. Następnie przetestuj normalne logowanie w przeglądarce dla użytkownika objętego egzekwowaniem i upewnij się, że NextCloud wymaga skonfigurowanego współczynnika. Zweryfikuj wykluczonego użytkownika tylko wtedy, gdy wyjątek jest celowy. Chroń kody odzyskiwania i upewnij się, że administratorzy znają udokumentowaną ścieżkę odzyskiwania przed rozszerzeniem zasad.

Jeśli użytkownik utraci swój czynnik, Nextcloud udostępnia polecenie administracyjne specyficzne dla dostawcy, aby wyłączyć uwierzytelnianie dwuskładnikowe dla tego użytkownika, o ile dostawca je obsługuje: sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>Jest to działanie naprawcze, a nie sposób na osłabienie egzekwowania dla wszystkich. Oficjalny podręcznik opisuje również osobną aplikację do obsługi administratora dwuskładnikowego, która może wygenerować jednorazowy kod logowania w obsługiwanych sytuacjach. Przed użyciem tej metody należy sprawdzić, czy jest ona prawidłowa dla zainstalowanej wersji i dostawcy.

Aby uzyskać szczegółowe informacje, zapoznaj się z podręcznikiem administratora Nextcloud 35 dotyczącym uwierzytelniania dwuskładnikowego oraz podręcznikiem użytkownika Nextcloud 35 dotyczącym kodów rejestracyjnych i zapasowych . Dostępność dostawcy i dokładne etykiety interfejsu mogą zależeć od wersji Nextcloud i włączonych aplikacji, dlatego sprawdź je na swojej instancji przed wymuszeniem uwierzytelniania dwuskładnikowego dla wszystkich użytkowników.