Kaip nustatyti Hailbytes VPN autentifikavimą
Įvadas
Dabar, kai turite HailBytes VPN sąranką ir sukonfigūravote, galite pradėti tyrinėti kai kurias saugos funkcijas, kurias gali pasiūlyti HailBytes. Mūsų tinklaraštyje galite rasti VPN sąrankos instrukcijų ir funkcijų. Šiame straipsnyje apžvelgsime HailBytes VPN palaikomus autentifikavimo metodus ir kaip pridėti autentifikavimo metodą.
Apžvalga
„HailBytes VPN“ siūlo kelis autentifikavimo metodus, be tradicinio vietinio autentifikavimo. Siekiant sumažinti saugumo riziką, rekomenduojame išjungti vietinį autentifikavimą. Vietoj to rekomenduojame kelių veiksnių autentifikavimą (MFA), OpenID Connect arba SAML 2.0.
- MFA prideda papildomą saugos sluoksnį be vietinio autentifikavimo. „HailBytes“ VPN apima vietines integruotas versijas ir išorinės MFA palaikymą daugeliui populiarių tapatybės teikėjų, tokių kaip „Okta“, „Azure AD“ ir „Onelogin“.
- OpenID Connect yra tapatybės sluoksnis, sukurtas naudojant OAuth 2.0 protokolą. Tai yra saugus ir standartizuotas būdas autentifikuoti ir gauti vartotojo informaciją iš tapatybės teikėjo neprisijungiant kelis kartus.
- SAML 2.0 yra XML pagrįstas atviras standartas, skirtas keistis autentifikavimo ir autorizacijos informacija tarp šalių. Tai leidžia vartotojams vieną kartą autentifikuoti tapatybės teikėją ir nereikia iš naujo autentifikuoti, kad būtų galima pasiekti skirtingas programas.
„OpenID Connect“ su „Azure“ sąranka
Šiame skyriuje trumpai apžvelgsime, kaip integruoti jūsų tapatybės teikėją naudojant OIDC kelių faktorių autentifikavimą. Šis vadovas skirtas „Azure Active Directory“ naudojimui. Skirtingi tapatybės teikėjai gali turėti neįprastų konfigūracijų ir kitų problemų.
- Rekomenduojame naudoti vieną iš visiškai palaikomų ir išbandytų teikėjų: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 ir Google Workspace.
- Jei nenaudojate rekomenduojamo OIDC teikėjo, reikalingos šios konfigūracijos.
a) discovery_document_uri: OpenID Connect teikėjo konfigūracijos URI, kuris grąžina JSON dokumentą, naudojamą kuriant vėlesnes užklausas šiam OIDC teikėjui. Kai kurie teikėjai tai vadina „gerai žinomu URL“.
b) client_id: programos kliento ID.
c) client_secret: programos kliento paslaptis.
d) redirect_uri: nurodo OIDC teikėjui, kur nukreipti po autentifikavimo. Tai turėtų būti jūsų Firezone EXTERNAL_URL + /auth/oidc/ /callback/, pvz., https://firezone.example.com/auth/oidc/google/callback/.
e) atsako_tipas: Nustatykite kodą.
f) taikymo sritis: OIDC apimtys, kurias galite gauti iš savo OIDC teikėjo. „Firezone“ reikalauja bent jau „Openid“ ir el. pašto apimčių.
g) etiketė: mygtuko etiketės tekstas, rodomas Firezone portalo prisijungimo puslapyje.
- Eikite į „Azure Active Directory“ puslapį „Azure“ portale. Meniu Tvarkyti pasirinkite Programų registracijos nuorodą, spustelėkite Nauja registracija ir užsiregistruokite įvedę:
a) Pavadinimas: Firezone
b) Palaikomi paskyros tipai: (tik numatytasis katalogas – vienas nuomininkas)
c) Peradresavimo URI: tai turėtų būti jūsų Firezone EXTERNAL_URL + /auth/oidc/ /callback/, pvz., https://firezone.example.com/auth/oidc/azure/callback/.
- Užsiregistravę atidarykite išsamią programos peržiūrą ir nukopijuokite Programos (kliento) ID. Tai bus kliento_id vertė.
- Atidarykite galinių taškų meniu, kad gautumėte OpenID Connect metaduomenų dokumentą. Tai bus Discovery_document_uri reikšmė.
- Meniu Tvarkyti pasirinkite nuorodą Sertifikatai ir paslaptys ir sukurkite naują kliento paslaptį. Nukopijuokite kliento paslaptį. Tai bus kliento slaptumo reikšmė.
- Meniu Tvarkyti pasirinkite API leidimų nuorodą, spustelėkite Pridėti leidimą ir pasirinkite Microsoft Graph. Pridėkite el. pašto adresą, openid, offline_access ir profilį prie reikiamų leidimų.
- Eikite į /settings/security puslapį administratoriaus portale, spustelėkite „Pridėti OpenID Connect Provider“ ir įveskite informaciją, kurią gavote atlikdami aukščiau nurodytus veiksmus.
- Įgalinkite arba išjunkite parinktį Automatiškai kurti naudotojus, kad prisijungiant naudojant šį autentifikavimo mechanizmą būtų automatiškai sukurtas neprivilegijuotas vartotojas.
Sveikiname! Prisijungimo puslapyje turėtumėte matyti mygtuką Prisijungti naudojant „Azure“.
Išvada
„HailBytes VPN“ siūlo įvairius autentifikavimo metodus, įskaitant kelių veiksnių autentifikavimą, „OpenID Connect“ ir SAML 2.0. Integravus OpenID Connect su Azure Active Directory, kaip parodyta straipsnyje, jūsų darbuotojai gali patogiai ir saugiai pasiekti jūsų išteklius debesyje arba AWS.
