Двухфакторная аутентификация для BI.ZONE ZTNA
Описание
При подключении к корпоративным ресурсам через BI.ZONE ZTNA пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.
BI.ZONE ZTNA передаёт запрос на проверку первого фактора по протоколу RADIUS в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.
Схема работы:
- Пользователь подключается к BI.ZONE ZTNA и вводит логин и пароль (первый фактор).
- BI.ZONE ZTNA направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
- Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
- При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
- Пользователь подтверждает второй фактор.
- После успешной проверки обоих факторов доступ к ресурсам разрешается.
Подготовка в Simple2FA
Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:
| Поле | Значение |
|---|---|
| Название | BI.ZONE ZTNA (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента BI.ZONE ZTNA. Создаётся автоматически; это значение будет указано в настройках аутентификации BI.ZONE ZTNA |
| Shared Secret | Общий секрет, который будет использоваться в настройках аутентификации BI.ZONE ZTNA. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |
В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.
Настройка BI.ZONE ZTNA
1) Создайте конфигурацию аутентификации
- Перейдите в веб-интерфейс Контроллера CSP.
- В меню слева выберите Administration → RA VPN.
- Перейдите на вкладку Authentication.
- Нажмите кнопку Add auth config — откроется окно New auth config.
- Укажите параметры конфигурации:
- Name: название конфигурации, например SIMPLE2FA;
- Authentication: RADIUS;
- Identity Provider: выберите ранее созданный Identity Provider;
- Server address: IP-адрес локального инстанса Simple2FA;
- Server port: порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812);
- Shared secret: Shared Secret из карточки ресурса Simple2FA;
- NAS ID: значение NAS ID из карточки ресурса Simple2FA.
- Нажмите кнопку Add — конфигурация аутентификации будет добавлена.
Если в конфигурации доступен таймаут ответа RADIUS-сервера, установите его в диапазоне 40–60 секунд — это время нужно пользователю на подтверждение второго фактора.
2) Назначьте конфигурацию профилю подключения
- В том же разделе откройте редактирование профиля подключения (если профиля ещё нет — создайте его).
- В блоке Common settings найдите поле auth config и назначьте созданную конфигурацию.
- Сохраните профиль.
Проверка работы
- Подключитесь к BI.ZONE ZTNA с использованием настроенного профиля,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ будет разрешён.
Результат каждой попытки входа доступен в панели администратора, в разделе «Попытки авторизации».