Подключение двухфакторной аутентификации к WorksPad по протоколу RADIUS

Общая информация

В статье описывается настройка запросов второго фактора на WorksPad по протоколу RADIUS.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Яндекс.Ключ

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR Radius Adapter.

Схема работы

1. Пользователь подключается к WorksPadX, вводит логин;
2. WorksPad по протоколу RADIUS подключается к компоненту MULTIFACTOR Radius Adapter;
3. Компонент проверяет логин и пароль пользователя в Active Directory и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа в телефоне или вводит одноразовый код в WorksPadX.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел Ресурсы и создайте новый ресурс Сетевой экран → Другой:
2. Сохраните настройки
3. Скопируйте NAS Identifier и Shared Secret, они понадобятся при дальнейшей настройке.
4. Разверните компонент MULTIFACTOR Radius Adapter, взяв за основу шаблон из папки clients, или создав свой файл конфигурации по примеру:

<configuration>
    <!-- Объявление секции RadiusReply -->
    <configSections>
        <section name="RadiusReply" type="MultiFactor.Radius.Adapter.RadiusReplyAttributesSection, MultiFactor.Radius.Adapter"/>
    </configSections>
    
    <!-- Параметры работы компонента -->
    <appSettings>
    <add key="radius-client-ip" value="10.10.10.10"/>
    <!-- Shared secret радиуса -->
    <add key="radius-shared-secret" value="SHARED_SECRET"/>
    <!-- Где проверять первый фактор -->
    <add key="first-factor-authentication-source" value="None"/>
    <!-- Наименование домена -->
    <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
    <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
    </appSettings>
    </RadiusReply>
</configuration>

Настройка WorksPad

Важно

Второй фактор не применяется к веб-приложениям WorksPad. Данный функционал поддерживается только клиентскими приложениями WorksPad X. При необходимости отключите в профиле клиентов другие типы клиентских приложений.

Требования для настройки:

• Укажите порт RADIUS-адаптера (1812) в системе WorksPad.
• Укажите Shared secret, указанный в параметре radius-shared-secret.
• Отключите проверку пароля пользователя. Сервер WorksPad использует сервер RADIUS только для проверки второго фактора.
• Настройте способы подтверждения второго фактора.

Важно

Не рекомендуется совмещать использование функциональности MFA с политиками доступа «Одобрение новых экземпляров приложений с использованием TOTP или вручную администратором» и «Разрешить активацию экземпляров приложений с помощью TOTP» на одних и тех же пользователях.

Добавление провайдера MFA

Добавьте сервер RADIUS, в качестве провайдера MFA, а после этого включите его поддержку в нужных конфигурациях.

В разделе общих настроек системы Многофакторная аутентификация (MFA) можно добавить или исключить провайдеров MFA, а также отредактировать их настройки.

Для добавления провайдера MFA нажмите кнопку Добавить, расположенную на панели инструментов таблицы Провайдеры MFA в общих настройках системы.

В открывшемся окне укажите название и тип провайдера MFA – RADIUS.
Также необходимо указать дополнительные параметры:

• Имя узла – имя узла сервера RADIUS.
• Порт – порт сервера RADIUS (1812).
• Общий секрет – общий секрет используется при взаимодействии сервера WorksPad с RADIUS адаптером. Секрет был указан в параметре radius-shared-secret, что находится Вашем файле конфигурации.
• Порты клиента – UDP-порты, которые используются для отправки запросов на сервер RADIUS и ожидания ответа от сервера. Не рекомендуется указывать только один порт клиента. Ниже представлены допустимые форматы значений:
  • Конкретные номера: 5000, 6000
  • Диапазон номеров: 5000-5010
  • Любой доступный: 0
• Время ожидания ответа от сервера RADIUS (сек) – при малых значениях этого параметра пользователь может не успеть выполнить свои действия в некоторых сценариях подтверждения входа (например, через push-уведомление). Слишком большие значения могут привести к ошибкам получения ответа клиентом, так как будет превышено клиентское время ожидания ответа от сервера WorksPad. Если в течение указанного времени не будет получен ответ от сервера RADIUS, то система ответит клиенту ошибкой авторизации. Рекомендуемое значение – 30 секунд.
• Формат входа – формат имени пользователя, в котором оно будет передаваться на сервер RADIUS.
• Частота запроса MFA (минут) – по истечении указанного периода пользователю будет снова предложено пройти многофакторную аутентификацию.

После этого нажмите кнопку Добавить.
Далее этого провайдера необходимо указать в нужных конфигурациях.

Включение MFA в конфигурации пользователей

Для применения созданного ранее провайдера MFA при входе в клиентские приложения WorksPad его необходимо указать при включении MFA в конфигурации пользователей.

Для включения MFA нажмите кнопку Включить, расположенную на панели инструментов раздела Многофакторная аутентификация (MFA) в карточке конфигурации.

В открывшемся окне выберите провайдера MFA, которого добавили в систему WorksPad ранее. После этого нажмите кнопку Сохранить.