Настройка двухфакторной аутентификации ADFS

Общая информация

В статье описывается настройка Active Directory Federation Services (ADFS) для доступа к корпоративным приложениям.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• СМС
• Биометрия
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ

Видео-презентация

Схема работы

1. Пользователь открывает корпоративное приложение;
2. ADFS запрашивает логин первый фактор аутентификации: логин и пароль, проверяет корректность указанных данных и, если данные верны, переходит ко второму этапу аутентификации;
3. На втором этапе открывается окно проверки второго фактора MULTIFACTOR, в котором пользователю предлагается подтвердить доступ;
4. Пользователь подтверждает второй фактор доступа и переходит к работе с приложением.

Для настройки второго фактора аутентификации вам потребуется установить и настроить на сервере ADFS компонент MULTIFACTOR.ADFS.Adapter. Компонент разработан и поддерживается компанией МУЛЬТИФАКТОР, распространяется бесплатно вместе с исходным кодом. Актуальная версия находится на GitHub (архив release.zip):

Лицензия

Обратите внимание на лицензию. Она не даёт вам право вносить изменения в исходный код Компонента и создавать производные продукты на его основе. Исходный код предоставляется в ознакомительных целях.

Требования для установки

1. Серверная ОС Windows Server 2016 или выше.
2. Компоненту необходим доступ к хосту api.multifactor.ru по TCP порту 443 (TLS) напрямую или через HTTP прокси;
3. На сервере должно быть установлено правильное время.

Настройка MULTIFACTOR

1. В системе управления MULTIFACTOR добавьте новый ресурс «Веб-сайт», после чего Вам будут доступны ключи API Key и API Secret. Используйте формат токена доступа JwtHS256.

Настройка ADFS

1. Загрузите и распакуйте архив на сервер с ADFS.
2. Отредактируйте файл конфигурации MultiFactor.ADFS.Adapter.dll.config: пропишите ключи доступа из личного кабинета MULTIFACTOR
3. Запустите PowerShell скрипт install.ps1 с правами администратора.
4. Зайдите в консоль управления ADFS, в разделе «Authentication methods» -> «Multi-factor Authentication Methods» включите метод MULTIFACTOR.
5. В разделе Relying Party Trusts отредактируйте Access Policy для приложений, где необходимо включить 2FA.

Защита от сбоев

В случае недоступности (по любой причине) API MULTIFACTOR, адаптер может работать в одном из двух вариантов:

1. Пропускать без второго фактора (по умолчанию)
2. Отказывать в доступе

Для настройки используется следующий параметр:

<!--Enable bypass second factor when api unreachable (default: true)-->
<!--<add key="bypass-second-factor-when-api-unreachable" value="false"/>-->

Обновление

Шаги по переустановке\обновлению плагина:

1. Отключите MULTIFACTOR в AD FS в Service → Authentication Methods → Edit Multi-Factor Authenntication Methods
2. Задайте ключи для подключения к серверу аутентификации в MultiFactor.ADFS.Adapter.dll.config
3. Запустите uninstall.ps1
4. Запустите install.ps1
5. Включите MULTIFACTOR в AD FS

Логирование

Каналы логирования

udp://host:port
tcp://host:port

Важно

Ошибка настройки syslog не останавливает адаптер. Syslog отключается, а Windows Event Log и файловый журнал продолжают работать.

Для TCP можно включить TLS. В текущей реализации проверка сертификата отключена. Это означает, что соединение шифруется, но цепочка сертификата и имя syslog-сервера не проверяются.

Коды событий

Информационные события

Предупреждения

Ошибки 

Параметры конфигурации

Параметры логирования необходимо настраивать в корневом файле конфигурации: MultiFactor.ADFS.Adapter.dll.config

Важно

парсер уровня принимает сокращения Info и Warn, но не отдельные варианты Information и Warning. Неизвестное значение приводит к уровню Information. Например, значение Warning фактически включит Information.

Форматы файлового журнала

Текстовый формат

Используется, если logging-format отсутствует или содержит неизвестное значение.

Шаблон по умолчанию:

{Timestamp:yyyy-MM-dd HH:mm:ss.fff} [{Level:u3}] [{EventId}] {Message:lj}{NewLine}{Exception}

Json

Стандартный JSON-формат для структурированного логирования.

JsonTz

Компактный JSON со следующими полями:

• @t — локальная дата и время со смещением часового пояса;
• @m — отрендеренное сообщение;
• @mt — исходный шаблон сообщения;
• @l — уровень, кроме Information;
• @x — исключение и stack trace;
• остальные структурированные свойства события.

ElasticCommonSchema

JSON в формате Elastic Common Schema.

Если что-то не работает

• Если возникают ошибки при установке плагина, проверьте, что установочный скрипт вы выполняете от имени администратора;
• Для работы в кластерной конфигурации компонент необходимо установить на все серверы кластера;
• Ошибки, связанные с работой компонента, можно посмотреть на сервере ADFS в журнале Windows: в разделе Applications с источником MULTIFACTOR, а также в разделе ADFS;
• Если не прогружается iframe с окном второго фактора, а в консоли браузера вы видите ошибку:

Refused to frame 'https://access.multifactor.ru/' because it violates the following
Content Security Policy directive: "default-src 'self'". Note that 'frame-src' was 
not explicitly set, so 'default-src' is used as a fallback."

То добавьте домен access.multifactor.ru в исключения политики безопасности содержимого, разрешая ему открываться во фрейме. Это можно сделать следующей PowerShell командой, запущенной от роли администратора:

Set-AdfsResponseHeaders -SetHeaderName "Content-Security-Policy"  `
-SetHeaderValue "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:; frame-src access.multifactor.ru"

Важно

Если в настройках ресурса включен режим совместимости, то PowerShell команда, запущенная от роли администратора будет следующей:

Set-AdfsResponseHeaders -SetHeaderName "Content-Security-Policy"  ` 
-SetHeaderValue "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:; frame-src access-old.multifactor.ru"

Вопросы и ответы

Смотрите также

• Регистрация пользователей в MULTIFACTOR
• Настройка двухфакторной аутентификации Windows Remote Desktop