Настройка двухфакторной аутентификации CyberBackUP

В статье описывается настройка двухфакторной аутентификации MULTIFACTOR для защиты входа в систему CyberBackUP  с использованием LDAP-протокола.

Важно

Приведенная схема подключения применима только в тех случаях, когда сервер с установленным CyberBackUP не введен в домен организации.

Схема работы

• Пользователь подключается к веб-интерфейсу CyberBackUP;
• CyberBackUP по протоколу LDAP подключается к компоненту MULTIFACTOR LDAP Adapter;;
• Компонент проверяет логин и пароль пользователя в Active Directory или OpenLDAP и запрашивает второй фактор аутентификации;
• Пользователь подтверждает запрос доступа выбранным способом аутентификации.

Важно: после настройки можно отключить вход под учетной записью текущего пользователя Windows, оставив только вход через LDAP.

Перед началом работы

Убедитесь, что на сервере с Redmine открыты порт 389 TCP (LDAP) и 636 TCP (LDAPS) для отправки запросов на сервер MULTIFACTOR LDAP Adapter.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел «Ресурсы» и создайте новое LDAP приложение;
2. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;
3. Загрузите и установите MULTIFACTOR LDAP Adapter.

Настройка CyberBackUP

Добавление LDAP учетной записи

1. В веб-интерфейсе CyberBackUP перейдите в раздел
   Настройки → Учетные записи.
2. Нажмите Добавить учетную запись.
3. Выберите тип подключения LDAP.

Указание параметров подключения к LDAP адаптеру

Заполните следующие поля:

Где:

• Имя вашего домена
• IP-адрес или доменное имя сервера, на котором запущен LDAP-адаптер
• Укажите службу каталогов, которая у вас используется
• Укажите порт, на котором у вас работает LDAP-адаптер (по умолчанию адаптер запускается на 389 и 636 порту)
• Имя вашей служебной учетной записи, от имени которой будет обращение в LDAP-каталог. Данную учетную запись необходимо указать в настройках LDAP-адаптера: <add key="ldap-service-accounts" value=" "/> или указать «OU» сервисных учетных записей: <add key="ldap-service-accounts-ou" value="OU= "/>
• Пароль сервисной учетной записи
• Таймаут подключения в секундах, по истечении которого попытка соединения завершается

Добавление пользователей из LDAP

После внесений данных у Вас будет возможность добавить учетную запись из вашего LDAP каталога с выбранной Вами ролью.

1. Нажмите «Добавить учетную запись из LDAP».
2. Найдите нужного пользователя в LDAP каталоге.
3. Назначьте ему роль в CyberBackUP (администратор, оператор и т.д.).

Для того что бы при входе не было возможности использовать учетную запись администратора системы и вход осуществлялся только с использованием учетных записей добавленных Вами в CyberBackup из Вашего LDAP каталога , необходимо :

1. На сервере с установленным Сервером управления CyberBackUP перейдите в папку: C:\Program Files\Acronis\AccountServer
2. Откройте файл account_server.json для редактирования (администраторские права).
3. Найдите раздел connectors.
4. Удалите следующие строки:
   json{ "type": "sspi", "name": "1 Windows Integrated Logon", "id": "sspi", "config": {} },
5. Сохраните файл.
6. Перезапустите службу Acronis Account Server.

После этого вход будет возможен только через учетные записи, добавленные из LDAP.

Проверка работоспособности

1. Откройте страницу входа в CyberBackUP.
2. Введите логин и пароль пользователя из LDAP.
3. Если используется MULTIFACTOR LDAP Adapter с поддержкой 2FA, после проверки пароля пользователь получит запрос второго фактора.
4. При успешной проверке вход выполняется с назначенной ролью.

Возможные проблемы и их решение

Проблема	Решение
Не удается подключиться к LDAP адаптеру	Проверьте сетевые порты (389/636), доступность хоста, файрвол.
Ошибка авторизации сервисной учетной записи	Убедитесь, что сервисная запись существует и добавлена в ldap-service-accounts или ldap-service-accounts-ou в настройках адаптера.
Вход через учетную запись администратора Windows всё ещё работает	Проверьте, что строки sspi удалены из account_server.json, и служба перезапущена.
Пользователь из LDAP не виден в списке	Проверьте Base DN и права сервисной учетной записи на чтение.

Смотрите также

• Официальная документация CyberBackUP
• Настройка MULTIFACTOR LDAP Adapter
• Настройка двухфакторной аутентификации VMware vCenter Server
• Настройка двухфакторной аутентификации 1с-Bitrix24
• Настройка двухфакторной аутентификации Redmine