Настройка двухфакторной аутентификации WordPress через miniOrange SSO using SAML 2.0

Общая информация

В данной инструкции описывается настройка интеграции WordPress с плагином miniOrange SSO using SAML 2.0 c двухфакторной аутентификацией MultiFactor. По завершении интеграции пользователи получат возможность проходить двухфакторную аутентификацию внутри WordPress. Это позволяет централизованно управлять доступом и обеспечивает защиту от несанкционированного доступа к системе за счёт многофакторной аутентификации.

Поскольку MULTIFACTOR не запрашивает и не хранит пароли ваших пользователей, первым фактором аутентификации (логин и пароль) могут выступать следующие поставщики учётных записей:

• Active Directory
• MultiDirectory
• Yandex
• Google
• Локальные пользователи MULTIFACTOR (только e-mail)
• Другие внешние SAML поставщики учётных записей

Схема работы

1. MiniOrange SSO using SAML 2.0 устанавливает доверие с MULTIFACTOR для WordPress, получая его публичный сертификат и адрес единого входа (Sigle Sign-On);
2. При запросе на аутентификацию, miniOrange SSO using SAML 2.0  переадресует пользователя на страницу MULTIFACTOR;
3. MULTIFACTOR отправляет пользователя на страницу поставщика учётных записей (Active Directory, Google, Яндекс, внешний SAML поставщик);
4. После подтверждения первого фактора, MULTIFACTOR запрашивает двухфакторную аутентификацию и возвращает подписанный запрос в miniOrange SSO using SAML 2.0;
5. miniOrange SSO using SAML 2.0 предоставляет пользователю доступ к WordPress.

Этапы настройки

1. Установка плагина miniOrange SSO using SAML 2.0
2. Настройка Мультифактора
3. Конфигурация Service Provider Setup
4. Конфигурация Service Provider Metadata
5. Тестирование и сохранение.

Установка плагина miniOrange SSO using SAML 2.0

Скачайте и установите плагин miniOrange SAML SP SSO 2.0 с Вашей панели управления WordPress:

1. Перейдите на вкладку «Плагины» и выберите «добавить новый».
2. Найдите SAML Single Sign On - SAML SSO Login и нажмите «Установить плагин».
3. Активируйте SAML Single Sign On - плагин SAML SSO от miniOrange.

Настройка Мультифактора

Настройка SAML конфигурации

1. Зайдите в систему управления MULTIFACTOR, в разделе Ресурсы создайте новый Сайт → SAML приложение:

• Название: произвольное
• Адрес: [опционально] адрес
• Поставщик учетных записей:
  • Active Directory — для учетных записей домена Active Directory;
  • MultiDirectory  — для учетных записей домена MultiDirectory;
  • Google — для использования учетных записей Google;
  • Yandex — для использования учетных записей Яндекса;
  • Только e-mail — для использования локальных учётных записей MULTIFACTOR (только e-mail, без пароля);
  • Другой — для использования учётных записей преднастроенных внешних поставщиков в разделе Настройки → Поставщики учетных записей;
• Адрес портала: если выбран поставщик учётных записей Active Directory, то укажите адрес (внешний или внутренний) предварительно настроенного портала самообслуживания MULTIFACTOR;

2. Сохраните настройки;
3. Сохраните или откройте по ссылке файл из поля Метаданные MULTIFACTOR, он понадобится для дальнейшей настройки miniOrange SAML SP SSO 2.0;
4. Поле Service Provider пока оставьте пустым, мы вернёмся к нему позже после настройки miniOrange SAML SP SSO 2.0.

Конфигурация Service Provider Setup

Далее необходимо настроить конфигурацию Service Provider Setup в плагине miniOrange SAML SP SSO 2.0
Для этого перейдите в раздел miniOrange SAML 2.0 SSO в меню WordPress, после чего сразу попадаем на вкладку Service Provider Setup.

Опускаемся ниже и видим параметры IDP Metadata, которые необходимо заполнить.

Где:

• Identity Provider Name - имя поставщика;
• IdP Entity ID or Issuer IDP - идентификатор , который можно найти в вашем XML-файле IdP-метаданных, заключенном в тег < EntityDescriptor> с атрибутом EntityId
• SAML Login URL - вашем XML-файле IdP-метаданных, заключенном в тег SingleSignOnService (тип привязки: HTTP-перенаправление).
• X.509 Certificate - стандартный формат для сертификатов открытых ключей. Каждый сертификат X.509 включает в себя открытый ключ, идентификационную информацию и цифровую подпись.

Важно

Identity Provider Name обязательно к заполнению. В качестве имени поставщика допускаются только алфавиты, цифры и символы подчеркивания.

Параметры можно заполнить как вручную, так и с помощью файла из поля Метаданные MULTIFACTOR, который мы сохраняли ранее.

Переходим в Upload IDP metadata и видим следующие поля :

После чего заполняем Identity Provider Name и нажимаем кнопку «Выберите файл» в пункте Upload Metadata. После чего выбираем наш ранее созданный файл из поля Метаданные MULTIFACTOR и нажимаем «UpLoad»

По завершению загрузки метаданных Multifactor сверху появится следующее уведомление:

что говорит нам об успешной загрузки необходимых параметров в плагин, а также о переходе к следующему этапу.

Конфигурация Service Provider Metadata

Теперь мы можем перейти во кладку «Конфигурация Service Provider Metadata» для дальнейшей настройки.

В данной вкладке необходимо скачать файл MetaData XML и загрузить его в созданный нами ранее SAML ресурс или же использовать Metadata URl.

После скачивания файла переходим обратно в настройки созданного нами  Saml ресурса и нажимаем Upload Metadata.

В зависимости от выбора формата (файл или URL) загружаем необходимые данные и нажимаем Upload

По завершению загрузки в разделе Service Provider ресурса появятся данные о плагине.

Тестирование и сохранение

Вернёмся на вкладку Service Provider Setup и опускаемся вниз к 3 кнопкам.

Где:

• Test Configuration – позволяет протестировать нашу настроенную конфигурацию.
• Сохранить все настройки.
• Провести экспорт конфигурации плагина.

Нажимаем на Test Configuration и, если всё настроено правильно, нас перенаправит на двухфакторной аутентификации Multifactor.

После подтверждения второго фактора, мы получим уведомление о том , что тест успешен.

Важно

Для корректной работы двухфакторной аутентификации MultiFactor через плагин необходимо пересоздать локальных пользователей, у которых еще нет двухфакторной аутентификации, через SSO плагина.

После успешного теста, сохраняем настройки, и теперь нам доступен вход через Multifactor.

Смотрите также​

https://multifactor.ru/docs/apps/mts-link/
https://multidirectory.ru/docs/introduction/md-install/
https://developers.miniorange.com/docs/saml/wordpress/service-provider-metadata