Варианты размещения
Simple2FA поставляется в четырёх вариантах размещения. Различаются они тем, где находится облачная часть второго фактора и нужен ли доступ в интернет; сервер, консоль администратора, каталоги учётных записей и RADIUS во всех локальных вариантах остаются в контуре организации.
Сводная таблица
| Гибрид | Автономный контур | Частное облако | Облачный сервис | |
|---|---|---|---|---|
| Сервер, консоль, каталоги, RADIUS | в вашем контуре | в вашем контуре | в вашем контуре | не разворачиваются |
| Облачная часть второго фактора | облако Orbsoft | в вашем закрытом периметре | в вашем ЦОДе | облако Orbsoft |
| Пароли, секреты, ключи | не покидают контур | не покидают контур | не покидают контур | на стороне защищаемой системы |
| Что уходит наружу | только логин и результат подтверждения | ничего | ничего — данные не проходят через Orbsoft | — |
| Интернет | только исходящий TCP 443 | не требуется | из ЦОДа | требуется |
| Способы подтверждения | все | TOTP: офлайн-приложение или аппаратный токен | все | все |
Гибрид — сервер у вас, облако Orbsoft
Локальный инстанс Simple2FA (бэкенд и консоль администратора) разворачивается в периметре организации и работает с внутренними ресурсами: каталогом учётных записей (AD, LDAP, Samba, Keycloak), первым фактором, RADIUS для VPN и VDI. Облачная часть Orbsoft отвечает за доставку подтверждений, требующих внешних сервисов. Связь сервера с облаком — по API-ключу организации, исходящее соединение TCP 443. Пароли периметр не покидают: наружу передаётся только логин.
Для кого: основной сценарий для корпоративных заказчиков — внутренняя инфраструктура защищена, но допустим исходящий канал в интернет.
Автономный контур — без доступа в интернет
Все компоненты, включая облачную часть, разворачиваются в закрытом периметре организации без доступа в интернет.
Для кого: регулируемые заказчики и закрытые контуры (ГИС, КИИ), сценарии, где требуется полная автономность: сервер, RADIUS и TOTP.
Следствие для способов подтверждения
Без интернета недоступны каналы доставки, которым нужны внешние сервисы. Рабочий способ — TOTP: коды генерируются офлайн в мобильном приложении или аппаратном токене и проверяются локально.
Частное облако — выделенное облако в вашем ЦОДе
Локальный инстанс размещается в закрытом периметре организации, а облачная часть — тоже в её инфраструктуре, но в ЦОДе, имеющем выход в интернет. Фактически это гибрид, в котором роль облака Orbsoft выполняет выделенная инсталляция заказчика.
Отличие от гибрида: облачная часть принадлежит заказчику, данные не проходят через инфраструктуру Orbsoft.
Отличие от автономного контура: за счёт интернета в ЦОДе сохраняются все способы подтверждения, а не только TOTP.
Для кого: заказчики, которым нужен полный контроль над инфраструктурой без потери каналов доставки подтверждений.
Облачный сервис — без установки
Вся система, включая консоль администратора, размещена в инфраструктуре Orbsoft и доступна через интернет. Разворачивать у себя ничего не нужно: информационные системы подключаются к облаку напрямую по API.
Для кого: небольшие и средние компании без требований к размещению данных в собственном контуре.
Ограничение: первый фактор проверяется на стороне защищаемой системы — интеграции с внутренним каталогом нет. Работа по RADIUS недоступна.