Настройка двухфакторной аутентификации

Двухфакторная аутентификация предназначена для повышения информационной безопасности за счёт дополнительного этапа проверки подлинности пользователя при его авторизации. В качестве первого фактора используется парольный тип аутентификации. В качестве второго фактора используется слепок сертификата клиента, который сохраняется в «Форсайт. Аналитическая платформа».

Сертификат клиента является частью сертификата безопасности, который включает в себя набор сгенерированных сертификатов:

• Корневой сертификат. Используется для генерации и подписи сертификата сервера и сертификата клиента;

• Сертификат сервера. Используется веб-сервером Apache2 в ОС Linux или IIS в ОС Windows;

• Сертификат клиента. Используется для проверки подлинности пользователя при его авторизации и представляет собой личную цифровую подпись.

Примечание. Настройка двухфакторной аутентификации доступна в веб-приложении, работа которого настроена по протоколу HTTPS. При использовании двухфакторной аутентификации взаимодействие браузера с BI-сервером должно выполняться в обход серверной части веб-приложения, через точку доступа PP.SOM.Som.

При настройке двухфакторной аутентификации предполагается, что корневой сертификат и сертификат сервера уже получены и установлены в процессе настройки работы веб-приложения по протоколу HTTPS. Получите только сертификат клиента client.pfx и разместите его в папке с корневым сертификатом на локальном компьютере пользователя. Также получите сертификат клиента с расширением *.cer или *.crt для последующей его привязки к пользователю в «Форсайт. Аналитическая платформа».

Если веб-приложение используется в браузере Chromium-Gost, то убедитесь, что получен корневой сертификат и сертификат клиента, использующий алгоритмы шифрования ГОСТ.

Указанные файлы сертификатов и ключа приведены в качестве примера и могут отличаться.

Шаг 1. Импорт сертификата клиента в хранилище

Для импорта сертификата клиента в личное хранилище сертификатов используйте поддерживаемый браузер или средства операционной системы. Средствами операционной системы можно импортировать сертификат в хранилище только в ОС Windows.

Рассмотрим импорт сертификата на примере Mozilla Firefox:

1. Откройте настройки браузера по адресу:

about:preferences

2. Перейдите в раздел «Приватность и Защита».

3. Нажмите кнопку «Просмотр сертификатов» в подразделе «Сертификаты». После чего будет открыто окно «Управление сертификатами».

4. Нажмите кнопку «Импортировать» и выполните действия. После чего будет выдан стандартный диалог выбора файла.

5. Выберите сертификат клиента client.pfx на вкладке «Ваши сертификаты».

6. Введите пароль закрытого ключа, который был задан при создании сертификата клиента.

После выполнения действий сертификат клиента будет импортирован в личное хранилище сертификатов.

Для импорта сертификата клиента в личное хранилище сертификатов средствами ОС Windows:

1. Дважды щёлкните по сертификату клиента client.pfx. После чего будет открыто окно «Сертификат».

2. Нажмите кнопку «Установить сертификат». После чего будет открыт мастер импорта сертификатов.

3. Выберите расположение хранилища «Текущий пользователь» и нажмите кнопку «Далее».

4. Установите переключатель «Поместить все сертификаты в следующее хранилище», выберите хранилище сертификатов «Личное» и нажмите кнопку «Далее».

После выполнения действий сертификат клиента будет импортирован в личное хранилище сертификатов.

Другие варианты установки и импорта сертификата на различных операционных системах и браузерах приведены на портале государственных услуг.

Шаг 2. Привязка сертификата клиента к пользователю

Сертификат клиента должен быть привязан индивидуально к каждому пользователю. Привязка сертификата клиента к пользователю доступна только в ОС Windows.

Примечание. Привязка сертификата клиента к доменному пользователю недоступна.

Для привязки сертификата к пользователю в менеджере безопасности:

1. Выберите пользователя в разделе «Пользователи». После чего будет открыта боковая панель «Свойства»:

2. Нажмите кнопку «Добавить», расположенную напротив поля «Сертификат», на вкладке «Общие свойства».

3. Выберите файл с расширением *.cer или *.crt в стандартном диалоге выбора файла.

4. Нажмите кнопку «Сохранить».

После выполнения действий сертификат клиента будет привязан к выбранному пользователю. В поле «Сертификат» содержится слепок сертификата клиента.

Шаг 3. Настройка BI-сервера

Шаги по настройке BI-сервера отличаются в зависимости от используемого веб-сервера, на котором установлен BI-сервер, и операционной системы.

Шаг 4. Изменение применения двухфакторной аутентификации

По умолчанию двухфакторная аутентификация применятся только для пользователей, к которым привязан сертификат клиента. При необходимости измените применение двухфакторной аутентификации.

Создайте строковый параметр Strategy_check и задайте ему значение в разделе реестра [HKEY_LOCAL_MACHINE\Software\Foresight\Foresight Analytics Platform\10.0\Manager\Certificate] или в файле settings.xml:

<Key Name="Manager">
  <Certificate Strategy_check="Always"/>
</Key>

Допустимые значения параметра:

• User. По умолчанию. Двухфакторная аутентификация применяется, если к пользователю привязан сертификат клиента;

• Always. Двухфакторная аутентификация применяется для всех пользователей. Пользователям, к которым не привязан сертификат клиента, доступ будет запрещен;

• Never. Двухфакторная аутентификация не применяется, даже если к пользователю привязан сертификат клиента.

Шаг 5. Проверка двухфакторной аутентификации

Для проверки двухфакторной аутентификации:

1. Откройте веб-приложение по протоколу HTTPS.

2. Войдите в систему.

После выполнения действий результат двухфакторной аутентификации будет зависеть от заданного применения. Если применение двухфакторной аутентификации не менялось, то по умолчанию перед аутентификацией пользователя запрашивается сертификат клиента. При успешной аутентификации пользователя сравнивается полученный сертификат с сертификатом, привязанным к пользователю в менеджере безопасности. Если сравниваемые сертификаты совпадают, то выполняется вход в систему.