Двухфакторная аутентификация для Grafana Cloud

Общие сведения

В статье описывается настройка двухфакторной аутентификации для платформы Grafana.

Платформа поддерживает федеративную аутентификацию по протоколу OAuth/OIDC, которая совместно с MULTIFACTOR позволяет использовать единую базу пользователей и централизованно управлять доступом с мультифакторной аутентификацией.

Поскольку MULTIFACTOR не запрашивает и не хранит пароли ваших пользователей, первым фактором аутентификации (логин и пароль), в зависимости от настройки, могут быть:

• MultiDirectory
• Active Directory
• Yandex
• Google
• Локальные пользователи MULTIFACTOR (только e-mail)
• Другие внешние SAML поставщики учётных записей

Схема работы

1. Grafana и MULTIFACTOR устанавливают взаимное доверие путем обмена настройками и секретом и настройкой единого адреса входа (Sigle Sign-On).
2. При запросе на аутентификацию, Grafana переадресует пользователя на страницу MULTIFACTOR.
3. MULTIFACTOR отправляет пользователя на страницу поставщика учетных записей (Например, MultiDirectory).
4. После подтверждения первого фактора, MULTIFACTOR запрашивает двухфакторную аутентификацию и возвращает подписанный запрос в Grafana.

Настройка MULTIFACTOR

1. Зайдите в личный кабинет, в разделе Ресурсы создайте новый Сайт → OAuth / OpenID приложения:

• Название: произвольное
• Адрес: [опционально] адрес вашего портала в grafana. Например https://[имя Вашего кабинета].grafana.net/
• Поставщик учетных записей:
  • Active Directory — для учетных записей домена MultiDirectory;
  • Active Directory — для учетных записей домена Active Directory;
  • Google — для использования учетных записей Google;
  • Yandex — для использования учетных записей Яндекса;
  • Только e-mail — для использования локальных учетных записей MULTIFACTOR (только e-mail, без пароля);
  • Другой — для использования учетных записей преднастроенных внешних поставщиков в разделе «Настройки» -> «Поставщики учетных записей»;
• Адрес портала:
  • если выбран поставщик учетных записей MultiDirectory, то укажите адрес (внешний или внутренний) предварительно настроенного портала самообслуживания MULTIFACTOR;
• Авторизованные URI переадресации укажите следующие ссылки:
  https://[имя Вашего кабинета]/login/generic_oauth
• Вы можете включить самостоятельную настройку второго фактора при первом входе пользователя.

2. Сохраните настройки;
3. После создания вам будут доступны два параметра: Client ID и Client Secret, они потребуются для интеграции.

Настройка Grafana

1. Зайдите на платформу с правами администратора.
2. Перейдите в раздел Администрирование → Аутентификация → OAuth.
   (Home → Administration → Authentication → OAuth)
   

3. Далее откройте General Settings заполните следующие поля:

1. Display name: Multifactor
2. Client ID: Client ID из созданного Вами ресурса MULTIFACTOR
3. Client Secret: Client Secret из созданного Вами ресурса MULTIFACTOR
4. Scopes: укажите user:email( для передачи логина в формате email) или user:login (для передачи логина в формате login)
5. Authorize URL: https://idp.multifactor.ru/oidc
6. Token URL: https://api.multifactor.ru/openid/token
7. API URL: https://api.multifactor.ru/openid/token
8. После чего нажмите Save and enable.

Затем попробуйте зайти в Вашу Grafana. Если настроено всё верно, то при входе должен появиться следующий способ входа на платформу:

Смотрите также:

• Настройка аутентификации
• Настройка портала самообслуживания MULTIFACTOR
• Настройка OpenID Connect / OAuth приложений MULTIFACTOR
• Настройка авторизации через сервисы SSO HRBOX