# Сценарии использования

Типовые схемы работы Simple2FA: что происходит между вводом пароля и доступом к ресурсу, какие компоненты участвуют и где проходит граница сети организации.

Во всех сценариях порядок один: первый фактор проверяется в контуре организации по каталогу учётных записей, после чего запрашивается подтверждение вторым фактором. Наружу передаётся только логин — пароли периметр не покидают. Различаются сценарии тем, каким образом защищаемая система передаёт учётные данные в Simple2FA: по RADIUS, через PAM-адаптер, через адаптер или плагин на стороне самой системы.

## VPN, RDP и VDI

Подключение по RADIUS — основной способ для VPN-шлюзов, терминального доступа и виртуальных рабочих столов.

1. Пользователь вводит логин и пароль на рабочем месте при подключении к VPN, RDP или VDI.
2. Ресурс передаёт логин и пароль в локальный инстанс Simple2FA.
3. Локальный инстанс проверяет первый фактор через каталог учётных записей (например, Active Directory).
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором — по логину пользователя.
5. Пользователь подтверждает вход.
6. После успешной проверки обоих факторов доступ предоставляется.

![Схема двухфакторной аутентификации для VPN, RDP и VDI](../assets/img/scenarios/vpn-rdp-vdi.webp)

## OpenVPN, SSH и sudo через PAM-адаптер

Учётные данные передаёт PAM-адаптер Simple2FA, установленный на сервере, — по HTTPS.

1. Пользователь вводит логин и пароль при подключении по SSH или OpenVPN.
2. PAM-адаптер Simple2FA передаёт логин и пароль в локальный инстанс по протоколу HTTPS.
3. Локальный инстанс проверяет первый фактор через каталог учётных записей.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает вход, и доступ предоставляется.

![Схема двухфакторной аутентификации для OpenVPN, SSH и sudo](../assets/img/scenarios/ssh-openvpn.webp)

!!! note "Без установки адаптера"
    Тот же сценарий возможен по RADIUS — штатным модулем pam_radius вместо PAM-адаптера. Порядок настройки — на странице [PAM RADIUS](../integrations/linux/pam-radius.md).

## ADFS

Первый фактор проверяет сама служба ADFS, Simple2FA подключается к ней адаптером `simple2fa.adfs` как дополнительный поставщик аутентификации.

1. Пользователь вводит логин и пароль при входе через ADFS.
2. ADFS проверяет первый фактор через Active Directory.
3. При успешной проверке ADFS через адаптер `simple2fa.adfs` отправляет запрос в локальный инстанс Simple2FA.
4. Локальный инстанс запрашивает подтверждение вторым фактором по логину пользователя.
5. Пользователь подтверждает вход, и доступ предоставляется.

![Схема двухфакторной аутентификации для ADFS](../assets/img/scenarios/adfs.webp)

## Keycloak

Первый фактор проверяет Keycloak, Simple2FA встраивается в его цепочку аутентификации плагином.

1. Пользователь вводит логин и пароль при входе в приложение через Keycloak.
2. Keycloak проверяет первый фактор через внутреннюю базу пользователей или Active Directory.
3. При успешной проверке Keycloak через плагин Simple2FA отправляет запрос в локальный инстанс.
4. Локальный инстанс запрашивает подтверждение вторым фактором по логину пользователя.
5. Пользователь подтверждает вход, и доступ предоставляется.

![Схема двухфакторной аутентификации для Keycloak](../assets/img/scenarios/keycloak.webp)

## Outlook Web Access

Первый фактор проверяет OWA, второй запрашивается адаптером `simple2fa.IIS` на веб-сервере.

1. Пользователь вводит логин и пароль при входе в OWA.
2. OWA проверяет первый фактор через Active Directory.
3. При успешной проверке OWA через адаптер `simple2fa.IIS` отправляет запрос в локальный инстанс Simple2FA.
4. Локальный инстанс запрашивает подтверждение вторым фактором по логину пользователя.
5. Пользователь подтверждает вход, и доступ предоставляется.

![Схема двухфакторной аутентификации для Outlook Web Access](../assets/img/scenarios/owa.webp)

## Смотрите также

- [Настройка ресурсов](../integrations/index.md)
- [Поддерживаемые системы](../reference/supported-systems.md)
- [Варианты размещения](placement.md)