# Глоссарий

Термины, которые встречаются в панели администратора и в этом руководстве. Если нужное слово не нашлось — попробуйте поиск по документации: он ищет по всем страницам, а не только по этому списку.

## Продукт и его части

- **Simple2FA**{ #simple2fa } — система двухфакторной аутентификации и единого входа для корпоративных систем: VPN, VDI, RDP, серверов Linux, веб-приложений и 1С. Подробнее — [О продукте](product.md).

- **Локальный инстанс**{ #локальный-инстанс } (Local Instance) — часть системы, которая разворачивается в инфраструктуре организации: стек из `local-backend`, `admin-panel-local`, PostgreSQL и, при необходимости, `nginx` в Docker Compose. В контуре остаются панель администратора, подключения к каталогам, встроенный RADIUS-сервер, проверка первого фактора и проверка кодов TOTP; пароли пользователей, общие секреты RADIUS и ключи ресурсов периметр не покидают. См. [Установка локального инстанса](../start/local-instance.md).

- **Бэкенд локального инстанса**{ #бэкенд } (`local-backend`) — серверная часть инстанса: к ней обращаются по HTTPS адаптеры и интеграции, она же слушает [встроенный RADIUS-сервер](#встроенный-radius-сервер) и LDAP-прокси. **Адрес у бэкенда свой, отдельный от адреса [панели администратора](#панель-администратора)**: при установке они задаются как `DOMAIN_API` и `DOMAIN_ADMIN`. В настройках адаптеров и в вызовах API указывается именно адрес бэкенда.

- **Облачная часть**{ #облачная-часть } — сервис Simple2FA на стороне разработчика. Локальный инстанс обращается к ней для проверки второго фактора; связь обеспечивает [API-ключ](#api-ключ) организации.

- **Панель администратора**{ #панель-администратора } — веб-интерфейс управления системой: ресурсы, пользователи, поставщики учётных записей, политики и журналы. Описана в разделе [Панель администратора](../admin/index.md).

- **PAM-адаптер**{ #pam-адаптер } — модуль Simple2FA для Linux. Устанавливается на сервер или рабочую станцию и обращается к [бэкенду локального инстанса](#бэкенд) по HTTPS. Где именно будет запрошен второй фактор, определяет то, в какие [PAM-стеки](#pam-стек) добавлена строка адаптера. См. [Серверы Linux](../integrations/linux/index.md).

- **Адаптер, плагин**{ #адаптер-плагин } — компонент для систем, которые проверяют первый фактор сами: AD FS, OWA, Keycloak, 1С, вход в Windows. Simple2FA в этой схеме отвечает только за второй фактор.

- **Встроенный RADIUS-сервер**{ #встроенный-radius-сервер } — [RADIUS](#radius)-сервер в составе локального инстанса. К нему обращаются VPN-шлюзы, сетевое оборудование и стандартный модуль [pam_radius](#pam-radius).

- **Встроенный IdP**{ #встроенный-idp } (Identity Provider, провайдер идентификации) — слой единого входа Simple2FA. Приложение доверяет вход ему и получает уже аутентифицированного пользователя, вместо того чтобы проверять учётные данные самостоятельно. См. [Веб-приложения и 1С](../integrations/web/index.md).

## Объекты панели администратора

- **Ресурс**{ #ресурс } — единица настройки: одна подключаемая система или группа однотипных серверов. В карточке ресурса задаются протокол подключения, способы подтверждения и политики, и там же выдаются реквизиты — [общий секрет RADIUS](#shared-secret) или [API-ключ](#api-ключ). См. [Ресурсы](../admin/resources.md).

- **Пользователь**{ #пользователь } — учётная запись сотрудника в Simple2FA. Заводится вручную или [синхронизацией](#синхронизация-учётных-записей) из каталога; в карточке видно способы подтверждения, статус и историю входов. См. [Пользователи](../admin/users.md).

- **Группа пользователей**{ #группа-пользователей } — набор учётных записей, к которому применяются общие правила: какие способы подтверждения доступны, нужен ли второй фактор вообще и в какие ресурсы разрешён вход. См. [Группы пользователей](../admin/user-groups.md).

- **Поставщик учётных записей**{ #поставщик-учётных-записей } (поставщик УЗ) — подключение к каталогу организации, по которому проверяется первый фактор и из которого берутся учётные записи. Поддерживаются **LDAP** (Active Directory, Samba DC, ALD Pro и другие LDAP-совместимые каталоги) и **Keycloak**; каталогов может быть несколько. См. [Поставщики учётных записей](../admin/account-providers.md).

- **Синхронизация учётных записей**{ #синхронизация-учётных-записей } — регулярный перенос пользователей из каталога поставщика в Simple2FA по расписанию. См. [Синхронизация учётных записей](../admin/account-sync.md).

- **Роль**{ #роль } — набор административных прав: что именно администратор видит в панели и что может менять. См. [Роли](../admin/roles.md).

- **Администратор**{ #администратор } — учётная запись для работы в панели. Бывает локальной (создаётся в самой панели) и из каталога (вход через поставщика учётных записей). См. [Администраторы](../admin/administrators.md).

- **Пакет лицензий**{ #пакет-лицензий } — оплаченный объём: сколько пользователей можно подключить и до какой даты. См. [Пакеты лицензий](../admin/license-packages.md).

- **Политика блокировки**{ #политика-блокировки } — ограничение на число неудачных попыток аутентификации и правила временной блокировки учётной записи. См. [Политика блокировки](../admin/lockout-policy.md).

- **Журнал попыток аутентификации**{ #журнал-попыток-аутентификации } — записи обо всех попытках входа: пользователь, ресурс, результат. Используется для разбора инцидентов и выгружается в SIEM. См. [Журнал попыток аутентификации](../admin/auth-attempts.md).

- **Визард**{ #визард } (мастер настройки) — страница, на которой пользователь привязывает себе способ подтверждения. Оформление настраивается под фирменный стиль организации. См. [Тема визарда](../admin/wizard-theme.md).

## Аутентификация

- **Первый фактор**{ #первый-фактор } — то, что пользователь знает: логин и пароль. Проверяется по каталогу организации или самой подключаемой системой — в зависимости от схемы подключения.

- **Второй фактор**{ #второй-фактор } — то, чем пользователь подтверждает вход после пароля: код, push-уведомление, отпечаток, аппаратный ключ. Даже зная пароль, войти без него нельзя.

- **2FA, MFA**{ #2fa-mfa } — двухфакторная и многофакторная аутентификация. 2FA — частный случай MFA ровно с двумя факторами. Разбор понятий — в статье [Что такое 2FA](what-is-2fa.md).

- **Способ подтверждения**{ #способ-подтверждения } — чем именно подтверждается вход. Поддерживается десять способов: push-уведомления, TOTP, Telegram, мессенджер MAX, SMS, звонок, биометрия, [FIDO2](#fido2), смарт-карты и аппаратные токены. Любой из них может быть основным или резервным. См. [Способы подтверждения](methods.md).

- **passwordless**{ #passwordless } — вход в одно действие, без ввода пароля. Возможен на ресурсах, где используются способы, подтверждающие личность сами по себе: FIDO2, биометрия, смарт-карта, push-уведомление.

- **TOTP**{ #totp } (Time-based One-Time Password) — одноразовый код, который приложение и сервер вычисляют по общему секрету и текущему времени. В Simple2FA проверяется локальным инстансом, без обращения к облаку, поэтому вход по TOTP работает и при сбое интернета.

- **OTP**{ #otp } (One-Time Password) — одноразовый пароль. В интерфейсе и параметрах конфигурации так называется код, который пользователь вводит вторым фактором (`Method = "otp"` в конфигурации PAM-адаптера, «Запрашивать OTP» в настройках ресурса).

- **FIDO2, U2F**{ #fido2 } — стандарты аутентификации аппаратным ключом или встроенным в устройство аутентификатором, без передачи пароля.

## Протоколы и реквизиты

- **RADIUS**{ #radius } — протокол, по которому VPN-шлюзы, сетевое оборудование и шлюзы удалённых рабочих столов проверяют вход на внешнем сервере. Основной способ подключения для раздела [VPN и сетевое оборудование](../integrations/vpn/index.md).

- **NAS ID**{ #nas-id } (NAS-Identifier) — строка, которой RADIUS-клиент представляется серверу. Вместе с [NAS IP](#nas-ip) позволяет различать ресурсы, работающие на одном порту. Выдаётся в карточке ресурса и указывается в настройках подключаемого устройства.

- **NAS IP**{ #nas-ip } — IP-адрес RADIUS-клиента. Второй способ отличить один RADIUS-ресурс от другого, если они используют общий порт.

- **Shared Secret**{ #shared-secret } (общий секрет) — пароль, на котором RADIUS-клиент и сервер доверяют друг другу. Создаётся автоматически в карточке ресурса и прописывается на стороне подключаемой системы. Один ресурс можно использовать для группы серверов, указав на всех одинаковые NAS ID и Shared Secret.

- **API-ключ**{ #api-ключ } — ключ организации, связывающий локальный инстанс с [облачной частью](#облачная-часть) для проверки второго фактора. Выдаётся при регистрации организации, хранится в [глобальных настройках](../admin/global-settings.md).

- **PAM**{ #pam } (Pluggable Authentication Modules) — механизм аутентификации в Linux: вход собирается из подключаемых модулей. Через него второй фактор добавляется к локальному входу, SSH, RDP и sudo.

- **PAM-стек**{ #pam-стек } — файл в `/etc/pam.d/`, описывающий цепочку проверок для конкретной службы. Второй фактор включается добавлением в такой файл строки [PAM-адаптера](#pam-адаптер); пути к файлам различаются по дистрибутивам.

- **pam_radius**{ #pam-radius } — стандартный модуль PAM, обращающийся к RADIUS-серверу. Позволяет подключить второй фактор для SSH и sudo без установки PAM-адаптера Simple2FA — напрямую к [встроенному RADIUS-серверу](#встроенный-radius-сервер). См. [PAM RADIUS](../integrations/linux/pam-radius.md).

- **LDAP**{ #ldap } — протокол доступа к каталогу учётных записей. По нему подключаются Active Directory, Samba DC, ALD Pro и другие совместимые каталоги.

- **Единый вход**{ #единый-вход } (SSO, Single Sign-On) — схема, при которой приложение не проверяет учётные данные само, а доверяет вход провайдеру идентификации. Simple2FA выступает таким провайдером по **OIDC** (OpenID Connect) и **SAML**. См. [Встроенный IdP](#встроенный-idp).

- **challenge-response**{ #challenge-response } — режим RADIUS, в котором сервер после пароля отправляет клиенту дополнительный запрос, а тот показывает его пользователю. Так VPN-клиент спрашивает одноразовый код и может вернуть ссылку на [визард](#визард), если второй фактор ещё не настроен.

## Смотрите также

<div class="doc-list" markdown>

- [Что такое 2FA](what-is-2fa.md)

    Как устроена двухфакторная аутентификация и чем она отличается от MFA.

- [О продукте](product.md)

    Состав системы, варианты поставки, интеграции и управление.

- [Способы подтверждения](methods.md)

    Все десять способов и как выбрать основной и резервный.

</div>