Autenticazione multifattore

• Tipo non definito

Training

autenticazione multifattore, oppure MFA, aggiunge la verifica all'accesso Immersive: dopo il loro solito nome utente e password, l'utente inserisce un codice a sei cifre fornito dall'app sul telefono.

Questo tutorial guida l'amministratore attraverso la selezione della modalità MFA e la gestione degli utenti, spiegando la prima configurazione e i successivi accessi. Esempi di utilizzo Microsoft Authenticator e il racconto fittizio camille.martin.

1. Comprendere MFA e TOTP

1.1 Due controlli per una connessione

La password è la prima verifica. Il codice prodotto dall'applicazione è il secondo: verifica che la persona abbia anche il metodo di verifica associato al proprio account.

flowchart TD
    A["Saisir l’identifiant et le mot de passe"] --> B["Immersive vérifie le mot de passe"]
    B -->|Mot de passe valide| C["Ouvrir l’application TOTP sur le téléphone"]
    C --> D["Lire le code à six chiffres"]
    D --> E["Saisir ce code dans Immersive"]
    E --> F["Immersive vérifie le code"]
    F -->|Code valide| G["Connexion autorisée"]

Questo diagramma mostra un login riuscito quando è richiesta la MFA. Una password o un codice rifiutati non completano l'accesso.

1.2 Cos'è un TOTP?

TOTP Mezzi Password Uniuso Basata sul Tempo : un codice temporaneo calcolato dal tempo e un segreto condivisi durante la configurazione. Il meccanismo è descritto nel Standard aperto TOTP, RFC 6238.

In Immersive, il codice ha Sei cifre e cambia ogni 30 secondi. Il telefono lo calcola; il server Immersive verifica il codice inserito. Un codice già accettato non può essere riutilizzato.

Solo una configurazione TOTP è attiva per ogni account Immersive. Un reset sovrascrive questa configurazione.

Il codice QR presentato alla registrazione trasmette all'applicazione le informazioni necessarie per produrre questi codici. È specifico per l'account.

1.3 Microsoft Authenticator è un esempio di app compatibile

Immersive utilizza il Standard aperto TOTP per produrre i codici di verifica. Microsoft Authenticator è un esempio in questo tutorial, ma puoi usare un'altra app compatibile, a seconda delle politiche della tua organizzazione.

Ecco alcune app che supportano i codici TOTP:

Applicazione	Piattaforme mobili	Pagina ufficiale
Microsoft Authenticator	Android e iOS	Esplora Microsoft Authenticator
Google Authenticator	Android e iOS	Esplora Google Authenticator
Autenticazione 2FAS	Android e iOS	Scopri l'autenticazione 2FAS
Autenticatore Aegis	Android	Esplora Aegis Authenticator

Il principio rimane lo stesso con queste applicazioni: aggiungi il tuo account scansionando il codice QR presentato da Immersive, poi confermi la configurazione con il primo codice a sei cifre. Nei login successivi, inserisci il codice corrente dopo la tua password abituale.

I menu e la disposizione possono variare a seconda dell'applicazione scelta. Anche le funzioni di backup e sincronizzazione dipendono da ciascuna applicazione e devono rispettare le politiche della tua organizzazione.

1.4 Cambiare PC o lavorare senza Internet

La registrazione è associata all'account e all'applicazione del codice. Puoi accedere da un altro PC o browser con la password e il codice dallo stesso telefono. Non devi scansionare un nuovo codice QR ogni volta che cambi telefono.

Una volta configurato l'account, Microsoft Authenticator può produrre i suoi codici senza una connessione internet. Le notifiche di approvazione utilizzano un altro meccanismo, che richiede un accesso. Riferimento Microsoft: Come funziona l'autenticatore.

Per Immersive, questo significa che:

• il telefono può fornire il codice senza rete mobile o Wi-Fi;
• il PC deve sempre essere in grado di raggiungere il server Immersive, ad esempio tramite la rete aziendale o tramite VPN;
• il telefono e il server devono mantenere un orario corretto;
• L'app deve essere stata installata in anticipo, tenendo conto dei vincoli di accesso all'app store.

2. Definisci chi dovrebbe usare MFA

L'amministratore sceglie se è necessario l'MFA per l'accesso di login e password. L'amministratore può imporre l'MFA a tutti gli utenti o consentire eccezioni individuali, chiamate Esenzioni.

2.1 Cos'è un'esenzione dall'MFA?

A Esenzione per l'MFA Permette a un utente designato dall'amministratore di accedere con il suo solito nome utente e password. senza inserire un codice TOTP.

Questa eccezione vale solo per la seconda verifica durante l'accesso. Non cambia i diritti di accesso dell'utente in Immersive.

Ad esempio, quando il MFA è obbligatorio con esenzioni:

• Camille, che non è esente, inserisce la sua password e poi il codice della sua domanda.
• Alex, esentato dall'amministratore, accede solo con la sua password.

2.2 Le tre modalità disponibili

La modalità MFA si concentra su Accesso tramite nome utente e password.

Moda	Utente senza esenzione	Utente con esenzione registrata
Senza MFA	Solito login con password.	Solito login con password.
MFA obbligatorio con esenzioni	Password, poi codice TOTP. Configurazione guidata se necessario.	Accesso solo con password.
MFA richiesto senza esenzioni	Password, poi codice TOTP. Configurazione guidata se necessario.	Password, poi codice TOTP: L'esenzione non viene applicata.

Le esenzioni vengono mantenute quando si cambia modalità. Entrano in vigore solo in MFA obbligatorio con esenzioni. Un utente può essere esentato pur avendo già configurato la propria app.

La modalità Senza MFA Mantiene il normale funzionamento dei login con password. Non cancella i controlli già salvati.

2.3 SSO e altri accessi

Per una connessione tramite SSO, l'autenticazione e qualsiasi MFA rimangono gestite dal fornitore di identità del cliente. Un'esenzione Immersive non disabilita la MFA richiesta da quel fornitore.

Le chiavi API continueranno a funzionare come al solito. Le chiamate WebAPI saranno oggetto di un articolo separato.

2.4 Quando l'utente configura la propria app?

Quando un utente è soggetto a MFA e non l'ha mai configurata, la procedura viene visualizzata automaticamente dopo la valida della tua password, sulla loro prossima connessione compatibile. Devono scansionare il codice QR e poi confermare un primo codice prima di accedere all'applicazione.

L'amministratore non deve selezionare gli utenti uno per uno per la loro prima registrazione. Ogni utente segue questo percorso quando effettua il login. Un utente già configurato va direttamente a inserire il codice.

flowchart TD
    A["Mot de passe validé"] --> B{"MFA exigée pour ce compte ?"}
    B -->|Non| C["Connexion autorisée"]
    B -->|Oui| D{"Vérification déjà configurée ?"}
    D -->|Oui| E["Saisir le code du téléphone"]
    D -->|Non| F["Scanner le QR code"]
    F --> G["Saisir le premier code"]
    E --> H{"Code accepté ?"}
    G --> H
    H -->|Oui| C
    H -->|Non| I["Corriger la saisie ou attendre un nouveau code"]
    I -->|Vérifier à nouveau| H

Questo diagramma copre la prima registrazione e i soliti login. Dopo un reset, si utilizza il percorso descritto in Telefono perso o sostituito.

3. Preparare i parametri operativi

Questa parte è per chi gestisce il server Immersive. Gli utenti non devono inserire alcuna impostazione del server.

3.1 Indirizzo di accesso e orologi

Usa un indirizzo HTTPS accessibili dalle postazioni di lavoro degli utenti. Il certificato deve essere riconosciuto dai loro browser, anche su una rete senza Internet.

Controlla l'ora sul telefono e sul server. In un ambiente isolato, programma la sincronizzazione oraria appropriata per la rete aziendale.

3.2 Impostazioni MFA

Le impostazioni si trovano nel Mfa della configurazione applicativa, ad esempio in appsettings.json. Completare la configurazione esistente senza sostituire le altre sezioni.

{
  "Mfa": {
    "Origins": [
      "https://immersive.exemple.fr"
    ],
    "Issuer": "Immersive - Demonstration",
    "TotpProtectionKey": "REMPLACER_PAR_LA_CLE_GENEREE"
  }
}

Questo esempio deve essere adattato: il dominio e il valore chiave sono benchmark, non una configurazione pronta all'uso.

Parametro	Valore atteso	Ricordare
Origins	Elenco delle origini HTTPS consentite.	Indirizzo esatto della Rest Frontage come visualizzato dal browser: protocollo, nome host e qualsiasi porta, senza percorso o barra finale. Esempio con una porta: https://immersive.exemple.fr:44351.
Issuer	Il nome presentato nell'applicazione di codice.	Scegli un'etichetta riconoscibile, soprattutto se esistono più ambienti. Da 1 a 80 caratteri, senza due punti o caratteri di controllo. Il valore predefinito è Immersive.
TotpProtectionKey	Una chiave casuale di 32 byte codificata in Base64.	Protegge i segreti TOTP custoditi dal server. Non corrisponde alla password di Cerebrate né al singolo segreto trasmesso dal codice QR.

Se gli utenti stanno usando un reverse proxy, compilare l'indirizzo HTTPS che effettivamente stanno usando. Se sono consentiti più indirizzi, aggiungete ciascuno di essi al Origins.

3.3 Genera e mantieni la chiave di protezione

Per una nuova configurazione, questo comando funziona anche con Windows PowerShell 5.1:

$mfaBytes = New-Object byte[] 32
$mfaRng = [System.Security.Cryptography.RandomNumberGenerator]::Create()
try {
    $mfaRng.GetBytes($mfaBytes)
    [Convert]::ToBase64String($mfaBytes)
}
finally {
    $mfaRng.Dispose()
}

Copia il risultato a TotpProtectionKey attraverso la tua consueta procedura di gestione dei segreti. Fai considerare la configurazione al servizio prima dei test MFA.

4. Prepara Cerebrate e attiva la modalità scelta

4.1 Pagina MFA aperta

Connettiti a RestFrontage con Cervello, apri Sicurezza, allora Autenticazione multifattore. La pagina è accessibile all'indirizzo /Security/Mfa.

Nell'interfaccia attuale, questa pagina e le sue operazioni di gestione sono riservate a Cerebrate. Gli utenti comuni configurano la loro applicazione durante l'accesso; non devono accedere all'amministrazione di RestFrontage.

4.2 Configura la verifica del cervello

Il Bouldering Verifica del mio accesso riguarda il Account attualmente loggato. Con Cerebrate, viene utilizzato per preparare una propria applicazione di codice per confermare le operazioni di sicurezza.

1. In Verifica del mio accesso, click Configurare la mia verifica.
2. Inserisci la password attuale di Cerebrate nella finestra di verifica.
3. Scansiona il codice QR con Microsoft Authenticator, come previsto nel prossimo capitolo.
4. Inserisci il codice a sei cifre fornito dall'app e convalida.
5. Verifica che il blocco indichi Configurato.

Questo prepara Cerebrate. Non rende da solo l'MFA obbligatoria per tutti gli utenti. Le opzioni di gestione diventano disponibili quando la verifica è pronta.

4.3 Modalità MFA di registrazione

1. In Opzioni, scegli la modalità desiderata in MFA di modalità.
2. Click Salva.
3. Conferma la tua identità nella finestra che si apre: la password di Cerebrate, poi un codice a sei cifre della sua domanda.
4. Aspetta il risultato della registrazione.
5. Controlla il messaggio La modalità MFA è stata registrata e applicata. e valore Modalità attuale del cruscotto.

La pagina mostra un'attesa durante l'operazione. La scelta nella lista non è sufficiente: è il backup confermato ad applicare la modalità. Se il controllo viene annullato o fallito, la modifica non viene salvata.

La modalità viene applicata immediatamente dopo la registrazione. Gli accessi o le sessioni che non soddisfano più i nuovi requisiti possono richiedere la riautenticazione. Avvisa gli utenti prima di rendere obbligatoria la MFA.

Per un'organizzazione di diverse centinaia di utenti, ognuno configura la propria applicazione alla prossima connessione rilevante. Informarli di preparare il telefono e l'applicazione; non è necessario alcun tour della scheda utente per avviare le prime registrazioni.

5. Configura Microsoft Authenticator al primo accesso

5.1 Sul PC: avvia la connessione

1. Apri la tua app Immersive con la schermata di login abilitata alla MFA.
2. Inserisci il tuo solito nome utente e password.
3. Se è richiesta l'MFA e il tuo account non è ancora stato creato, il Configurare la mia verifica Sembra.
4. Tieni aperto questo schermo: mostra il codice QR da scansionare con il telefono.

5.2 Al telefono: aggiungi l'account Immersive

1. Open Microsoft Authenticator.
2. Tap + oppure Aggiungi un account, a seconda della versione.
3. Scegli Altri racconti, a volte etichettato Altri account (Google, Facebook, ecc.).
4. Consentire l'accesso alla telecamera se l'app lo richiede.
5. Scansiona il codice QR visualizzato in Immersive.
6. Trova l'account aggiunto e il suo codice a sei cifre.

L'account Immersive viene aggiunto come account TOTP. La scelta Altri racconti Si applica anche se usi Immersive nella tua attività. Aiuto Microsoft: Aggiungi un account in Authenticator.

Illustrazione educativa: account e codice fittizi. Il QR della demo non deve essere scansionato. Le etichette e la presentazione possono variare a seconda della versione dell'applicazione.

Il nome dell'ambiente, definito dall'amministratore, distingue tra diversi account Immersive. Nell'illustrazione, Immersive - Demo e camille.martin Serve solo come esempio.

5.3 Sul PC: conferma il primo codice

Inserisci le sei cifre attualmente visualizzate da Authenticator nelle sei caselle di Immersive, poi clicca Controllo. Puoi inserire il codice in fila o incollarlo.

La sola scansione non completa la registrazione: Il primo codice accettato conferma la configurazione. Durante un primo accesso guidato, puoi poi accedere all'applicazione, a seconda dei diritti del tuo account.

Non copiare il codice dall'illustrazione. Usa sempre il codice dal tuo telefono. Se sta per cambiare, aspetta il prossimo prima di validare.

5.4 Se il codice QR non può essere scansionato

In Immersive, open Non riesci a scansionare il codice QR? per visualizzare la chiave di inserimento manuale. Nell'applicazione di codice, usa l'opzione di inserimento manuale e copia la chiave.

Se l'app chiede le impostazioni: scegli un codice Basato sul tempo, Sei cifre, un periodo di 30 secondi e l'algoritmo SHA-1. Poi conferma il primo codice in Immersive dopo una scansione.

La chiave del manuale rimane riservata: rappresenta lo stesso segreto del codice QR.

6. Effettua l'accesso nei seguenti orari

1. Inserisci il tuo nome utente e la password in Immersive.
2. Quando Verifica la tua identità appare, apri Microsoft Authenticator.
3. Scegli l'account Immersive che corrisponde all'ambiente utilizzato.
4. Inserisci il codice corrente nelle sei caselle, poi clicca Controllo.

Non c'è un nuovo codice QR da scansionare ogni volta che accedi. Lo stesso account in Authenticator funziona dai diversi PC autorizzati ad accedere a Immersive.

L'app può chiedere di sbloccare il telefono o il proprio accesso prima di visualizzare i codici. Questa protezione del telefono è separata dalla password di Immersive.

7. Leggi il cruscotto e gestisci le esenzioni

7.1 Comprendere i misuratori

La parte superiore della pagina MFA riassume la situazione del Account di dominio attivo.

Indicatore	Significato
Modalità attuale	Questa è attualmente la politica per l'accesso con password.
Verifica configurata	Il numero di account attivi che hanno confermato la registrazione con un codice, rispetto al numero totale di account attivi.
Configura	Il numero di account attivi senza verifica confermata. Questo numero può includere account esenti o utilizzati solo in SSO.
Esentati	Numero di conti attivi con esenzione registrata. Il testo specifica se le esenzioni vengono applicate o solo mantenute.

In Telefono perso o sostituito, un altro contatore mostra account attivi in attesa di essere riregistrati.

Configurato e Esentati Descrivi due informazioni diverse. Non sommarle per ottenere il numero di utenti: lo stesso account può essere contato in entrambi. Un codice QR semplicemente visualizzato, senza conferma del primo codice, non costituisce una configurazione completata.

7.2 Aggiungere o rimuovere un'esenzione

1. In Opzioni, apri Esenzioni.
2. Cerca l'utente per account, nome, cognome, descrizione o nome distinto nella directory, chiamato DN.
3. Se necessario, usa Programma per filtrare Tutti gli utenti, Esentati oppure Non esente.
4. Puoi chiedere Motivo delle successive aggiunte per spiegare l'esenzione.
5. Accendi o spegni il pulsante Esentati dell'utente interessato.
6. Conferma l'operazione con la password e il codice MFA di Cerebrate, e poi attendi il risultato.

Ogni modifica viene salvata e applicata individualmente. Non esiste un backup globale della lista da effettuare. Una modifica delle esenzioni può anche richiedere la riautenticazione per sessioni soggette a MFA. Il DN rimane ricercabile quando l'utente si muove in l'orbita, senza sovraccaricare la linea.

In MFA obbligatorio con esenzioni, rimuovere un'esenzione invia l'account alla MFA: l'utente dovrà fornire il proprio codice o completare la prima configurazione. Aggiungere un'esenzione permette di accedere solo con password.

In MFA richiesto senza esenzioni, le esenzioni salvate sono ignorate. In Senza MFA, vengono conservati per un possibile cambio di modalità in seguito.

8. Telefono perso o sostituito

8.1 Cosa fa il reset

Il reset revoca la verifica del vecchio account e permette di configurare una nuova app. Non cambia la password dell'utente.

L'utente ha 24 ore dopo l'autorizzazione per accedere con il loro nome utente e password, scansionare un nuovo codice QR e confermare il primo codice. Non devono conservare o copiare alcun codice di riregistrazione aggiuntivo.

flowchart TD
    A["Identité de l'utilisateur vérifiée"] --> B["Cerebrate confirme la réinitialisation"]
    B --> C["Ancienne vérification révoquée"]
    C --> D["Utilisateur : identifiant et mot de passe"]
    D --> E["Nouveau QR code à scanner sous 24 heures"]
    E --> F["Premier code accepté"]
    F --> G["Nouvelle vérification prête"]

8.2 Reset dalla pagina MFA

1. Verifica l'identità dell'utente che richiede aiuto, secondo la procedura della tua organizzazione.
2. In Telefono perso o sostituito, click Resetta un assegno.
3. Click Scegli un utente ; Trova e seleziona la persona nella finestra di scelta.
4. Compila il Motivo di reset.
5. Click Verifica del reset.
6. Conferma con la password e il codice MFA di Cerebrate.
7. Aspetta Permessa la riregistrazione E nota la scadenza pubblicata.

8.3 Reset dalla scheda utente

Puoi anche aprire il record dell'utente in Sicurezza → Utenti, vai al Gestione, allora scegli Ri-registrazione MFA.

La finestra di conferma è direttamente associata all'utente dell'inserzione. Verifica la sua identità, compila il motivo e poi clicca Conferma la Riregistrazione. La validazione del cervello è ancora necessaria.

8.4 Cosa dovrebbe fare l'utente

Chiedi all'utente di avviare un nuovo login Immersive. Dopo la password abituale, dovrà seguire la procedura di scansione e conferma del primo codice sul nuovo telefono.

Un reset autorizzato può attivare questa configurazione anche se l'account è esente o se la modalità globale lo è Senza MFA. Corrisponde a una richiesta esplicita per la sostituzione del mezzo di verifica.

Se la procedura viene interrotta prima della conferma, l'utente può ricominciare entro il tempo consentito. Una volta accettato il nuovo codice, viene utilizzata l'autorizzazione di riregistrazione.

Se il limite di tempo è scaduto, l'amministratore deve rinnovare il reset. Un cambiamento nelle impostazioni della password o dell'MFA durante questo periodo può anche causare la scadenza dell'autorizzazione.

La vecchia voce può ancora essere visibile in Authenticator, ma i suoi codici non sono più validi per Immersive. Dopo aver confermato il nuovo account, elimina la voce obsoleta per evitare confusione.

8.5 Caso speciale: il telefono di Cerebrate

Per una sostituzione programmata, inizia mentre la vecchia app è ancora disponibile: il suo codice conferma il reset. Poi torna ad accedere per configurare la nuova app. Il blocco personale può offrire Riregistra la mia verifica Finché l'autorizzazione è valida.

Se il telefono viene perso o inaccessibile, l'operatore può forzare la riregistrazione dalla console di recupero.

Open disaster recovery

1. Open /Configurazione/Strumenti e sblocca la console con il Chiave di emergenza server.
2. Open MFA di Cerebrate, poi clicca Reset MFA cerebrale e confermare.

Configura la nuova app

1. Click Vai a login e inserire il consueto nome utente e password di Cerebrate.
2. Scansiona il nuovo codice QR nella tua app abilitata al TOTP.
3. Inserisci il codice a sei cifre mostrato dall'app, poi clicca Controllo.

Catture effettuate in un ambiente di test. Il codice QR mostrato non ti permette di configurare il tuo account: usa quello visualizzato dal tuo server.

Il vecchio metodo di verifica viene revocato, anche se è ancora registrato. Hai 24 ore su 24 per completare la nuova configurazione. Se questo timeout scade, riavvia l'azione dalla console.

Il vecchio codice MFA non è richiesto e non sono necessari codici di recupero aggiuntivi. Il reset d'emergenza è autorizzato dalla chiave della console; la password di Cerebrate viene poi utilizzata per effettuare l'accesso.

9. Risolvere le sfide comuni

Posizione	Verifica o azione
Il codice viene rifiutato.	Verifica l'account e l'ambiente selezionati in Authenticator. Aspetta il codice successivo, poi inserisci le sue sei cifre.
Un codice è già stato accettato per un'altra azione.	Aspetta che venga rinnovato: un codice accettato non può essere usato una seconda volta.
I codici restano rifiutati.	Controlla l'ora del telefono e del server. Se la verifica è stata azzerata, la vecchia voce dell'Autenticatore non funziona più.
Troppi codici sbagliati.	Dopo cinque errori, la verifica MFA viene bloccata per 15 minuti. Riavviare il login non resetta questo contatore.
La configurazione o la verifica è terminata.	Ripeti dal nome utente e dalla password. Per una nuova registrazione la cui autorizzazione è scaduta, richiedi un nuovo reset.
Non appare alcuna richiesta di codice.	Controlla la modalità effettivamente registrata, l'esenzione dell'account e il tipo di accesso. Un login SSO segue le regole del fornitore di identità.
Il telefono non ha internet.	Apri l'app e usa il suo codice. La generazione TOTP funziona offline; il PC deve comunque unirsi a Immersive.
L'applicazione client non offre MFA.	Usa una versione compatibile e una schermata di accesso. Un account soggetto a MFA non può completare da solo il login con password.
L'utente non possiede un telefono autorizzato.	Far sì che l'organizzazione defina un'esenzione compatibile per mezzi TOTP o assunti, se la modalità consente esenzioni.
Le opzioni amministratore non sono disponibili.	Controlla la configurazione del server risultata mancante e lo stato della verifica personale di Cerebrate.

10. Controlla che tutto sia pronto

10.1 Lato amministratore

• Gli indirizzi HTTPS e le impostazioni MFA corrispondono all'ambiente utilizzato.
• La chiave di protezione viene conservata e conservata in modo sicuro.
• Cerebrate ha confermato la propria applicazione di codice.
• Il cruscotto mostra la modalità scelta dopo la registrazione.
• Le esenzioni necessarie sono state verificate singolarmente.
• Gli utenti conoscono la procedura e il contatto da contattare nel caso in cui il telefono venga perso.

10.2 Con un account utente di prova

• Un utente soggetto a MFA viene guidato al codice QR al momento del primo accesso.
• La scansione è seguita dalla validazione del primo codice prima di accedere all'applicazione.
• Una nuova connessione chiede la password e poi il codice.
• La connessione funziona da un altro PC con la stessa applicazione di codice.
• Il codice funziona con il telefono offline, mentre il PC mantiene l'accesso al server.
• L'esenzione viene applicata solo nella modalità con esenzioni.
• Un reset porta a un nuovo codice QR, senza alcun codice di recupero da trasmettere.