Глоссарий

Последнее обновление 21 сентября 2026Копировать как MarkdownОткрыть как Markdown

Термины, которые встречаются в панели администратора и в этом руководстве. Если нужное слово не нашлось — попробуйте поиск по документации: он ищет по всем страницам, а не только по этому списку.

Продукт и его части

• Simple2FA — система двухфакторной аутентификации и единого входа для корпоративных систем: VPN, VDI, RDP, серверов Linux, веб-приложений и 1С. Подробнее — О продукте.

• Локальный инстанс (Local Instance) — часть системы, которая разворачивается в инфраструктуре организации: стек из local-backend, admin-panel-local, PostgreSQL и, при необходимости, nginx в Docker Compose. В контуре остаются панель администратора, подключения к каталогам, встроенный RADIUS-сервер, проверка первого фактора и проверка кодов TOTP; пароли пользователей, общие секреты RADIUS и ключи ресурсов периметр не покидают. См. Установка локального инстанса.

• Бэкенд локального инстанса (local-backend) — серверная часть инстанса: к ней обращаются по HTTPS адаптеры и интеграции, она же слушает встроенный RADIUS-сервер и LDAP-прокси. Адрес у бэкенда свой, отдельный от адреса панели администратора: при установке они задаются как DOMAIN_API и DOMAIN_ADMIN. В настройках адаптеров и в вызовах API указывается именно адрес бэкенда.

• Облачная часть — сервис Simple2FA на стороне разработчика. Локальный инстанс обращается к ней для проверки второго фактора; связь обеспечивает API-ключ организации.

• Панель администратора — веб-интерфейс управления системой: ресурсы, пользователи, поставщики учётных записей, политики и журналы. Описана в разделе Панель администратора.

• PAM-адаптер — модуль Simple2FA для Linux. Устанавливается на сервер или рабочую станцию и обращается к бэкенду локального инстанса по HTTPS. Где именно будет запрошен второй фактор, определяет то, в какие PAM-стеки добавлена строка адаптера. См. Серверы Linux.

• Адаптер, плагин — компонент для систем, которые проверяют первый фактор сами: AD FS, OWA, Keycloak, 1С, вход в Windows. Simple2FA в этой схеме отвечает только за второй фактор.

• Встроенный RADIUS-сервер — RADIUS-сервер в составе локального инстанса. К нему обращаются VPN-шлюзы, сетевое оборудование и стандартный модуль pam_radius.

• Встроенный IdP (Identity Provider, провайдер идентификации) — слой единого входа Simple2FA. Приложение доверяет вход ему и получает уже аутентифицированного пользователя, вместо того чтобы проверять учётные данные самостоятельно. См. Веб-приложения и 1С.

Объекты панели администратора

• Ресурс — единица настройки: одна подключаемая система или группа однотипных серверов. В карточке ресурса задаются протокол подключения, способы подтверждения и политики, и там же выдаются реквизиты — общий секрет RADIUS или API-ключ. См. Ресурсы.

• Пользователь — учётная запись сотрудника в Simple2FA. Заводится вручную или синхронизацией из каталога; в карточке видно способы подтверждения, статус и историю входов. См. Пользователи.

• Группа пользователей — набор учётных записей, к которому применяются общие правила: какие способы подтверждения доступны, нужен ли второй фактор вообще и в какие ресурсы разрешён вход. См. Группы пользователей.

• Поставщик учётных записей (поставщик УЗ) — подключение к каталогу организации, по которому проверяется первый фактор и из которого берутся учётные записи. Поддерживаются LDAP (Active Directory, Samba DC, ALD Pro и другие LDAP-совместимые каталоги) и Keycloak; каталогов может быть несколько. См. Поставщики учётных записей.

• Синхронизация учётных записей — регулярный перенос пользователей из каталога поставщика в Simple2FA по расписанию. См. Синхронизация учётных записей.

• Роль — набор административных прав: что именно администратор видит в панели и что может менять. См. Роли.

• Администратор — учётная запись для работы в панели. Бывает локальной (создаётся в самой панели) и из каталога (вход через поставщика учётных записей). См. Администраторы.

• Пакет лицензий — оплаченный объём: сколько пользователей можно подключить и до какой даты. См. Пакеты лицензий.

• Политика блокировки — ограничение на число неудачных попыток аутентификации и правила временной блокировки учётной записи. См. Политика блокировки.

• Журнал попыток аутентификации — записи обо всех попытках входа: пользователь, ресурс, результат. Используется для разбора инцидентов и выгружается в SIEM. См. Журнал попыток аутентификации.

• Визард (мастер настройки) — страница, на которой пользователь привязывает себе способ подтверждения. Оформление настраивается под фирменный стиль организации. См. Тема визарда.

Аутентификация

• Первый фактор — то, что пользователь знает: логин и пароль. Проверяется по каталогу организации или самой подключаемой системой — в зависимости от схемы подключения.

• Второй фактор — то, чем пользователь подтверждает вход после пароля: код, push-уведомление, отпечаток, аппаратный ключ. Даже зная пароль, войти без него нельзя.

• 2FA, MFA — двухфакторная и многофакторная аутентификация. 2FA — частный случай MFA ровно с двумя факторами. Разбор понятий — в статье Что такое 2FA.

• Способ подтверждения — чем именно подтверждается вход. Поддерживается десять способов: push-уведомления, TOTP, Telegram, мессенджер MAX, SMS, звонок, биометрия, FIDO2, смарт-карты и аппаратные токены. Любой из них может быть основным или резервным. См. Способы подтверждения.

• passwordless — вход в одно действие, без ввода пароля. Возможен на ресурсах, где используются способы, подтверждающие личность сами по себе: FIDO2, биометрия, смарт-карта, push-уведомление.

• TOTP (Time-based One-Time Password) — одноразовый код, который приложение и сервер вычисляют по общему секрету и текущему времени. В Simple2FA проверяется локальным инстансом, без обращения к облаку, поэтому вход по TOTP работает и при сбое интернета.

• OTP (One-Time Password) — одноразовый пароль. В интерфейсе и параметрах конфигурации так называется код, который пользователь вводит вторым фактором (Method = "otp" в конфигурации PAM-адаптера, «Запрашивать OTP» в настройках ресурса).

• FIDO2, U2F — стандарты аутентификации аппаратным ключом или встроенным в устройство аутентификатором, без передачи пароля.

Протоколы и реквизиты

• RADIUS — протокол, по которому VPN-шлюзы, сетевое оборудование и шлюзы удалённых рабочих столов проверяют вход на внешнем сервере. Основной способ подключения для раздела VPN и сетевое оборудование.

• NAS ID (NAS-Identifier) — строка, которой RADIUS-клиент представляется серверу. Вместе с NAS IP позволяет различать ресурсы, работающие на одном порту. Выдаётся в карточке ресурса и указывается в настройках подключаемого устройства.

• NAS IP — IP-адрес RADIUS-клиента. Второй способ отличить один RADIUS-ресурс от другого, если они используют общий порт.

• Shared Secret (общий секрет) — пароль, на котором RADIUS-клиент и сервер доверяют друг другу. Создаётся автоматически в карточке ресурса и прописывается на стороне подключаемой системы. Один ресурс можно использовать для группы серверов, указав на всех одинаковые NAS ID и Shared Secret.

• API-ключ — ключ организации, связывающий локальный инстанс с облачной частью для проверки второго фактора. Выдаётся при регистрации организации, хранится в глобальных настройках.

• PAM (Pluggable Authentication Modules) — механизм аутентификации в Linux: вход собирается из подключаемых модулей. Через него второй фактор добавляется к локальному входу, SSH, RDP и sudo.

• PAM-стек — файл в /etc/pam.d/, описывающий цепочку проверок для конкретной службы. Второй фактор включается добавлением в такой файл строки PAM-адаптера; пути к файлам различаются по дистрибутивам.

• pam_radius — стандартный модуль PAM, обращающийся к RADIUS-серверу. Позволяет подключить второй фактор для SSH и sudo без установки PAM-адаптера Simple2FA — напрямую к встроенному RADIUS-серверу. См. PAM RADIUS.

• LDAP — протокол доступа к каталогу учётных записей. По нему подключаются Active Directory, Samba DC, ALD Pro и другие совместимые каталоги.

• Единый вход (SSO, Single Sign-On) — схема, при которой приложение не проверяет учётные данные само, а доверяет вход провайдеру идентификации. Simple2FA выступает таким провайдером по OIDC (OpenID Connect) и SAML. См. Встроенный IdP.

• challenge-response — режим RADIUS, в котором сервер после пароля отправляет клиенту дополнительный запрос, а тот показывает его пользователю. Так VPN-клиент спрашивает одноразовый код и может вернуть ссылку на визард, если второй фактор ещё не настроен.

Смотрите также

• Что такое 2FA

  Как устроена двухфакторная аутентификация и чем она отличается от MFA.

• О продукте

  Состав системы, варианты поставки, интеграции и управление.

• Способы подтверждения

  Все десять способов и как выбрать основной и резервный.