Authentification à deux facteurs pour les utilisateurs du système et les utilisateurs externes
L 'authentification两个facteurs est un mécanisme de sécurité par lequel une appliance NetScaler authentifie un utilisateur du système à deux niveaux d’authentification. L’appliance n’accorde l’accès à l’utilisateur qu’après validation réussie des mots de passe par les deux niveaux d’authentification. Si un utilisateur est authentifié localement, le profil utilisateur doit être créé dans la base de données NetScaler. Si l’utilisateur est authentifié de manière externe, le nom d’utilisateur et le mot de passe doivent correspondre à l’identité de l’utilisateur enregistrée sur le serveur d’authentification externe.
Remarque
La fonctionnalité d’authentification à deux facteurs fonctionne uniquement à partir de NetScaler 12.1 build 51.16.
Comment fonctionne l’authentification à deux facteurs
Prenons l’exemple d’un utilisateur qui essaie de se connecter à une appliance NetScaler. Le serveur d’applications demandé envoie le nom d’utilisateur et le mot de passe au premier serveur d’authentification externe (RADIUS, TACACS, LDAP ou AD). Une fois le nom d’utilisateur et le mot de passe validés, l’utilisateur est invité à effectuer un deuxième niveau d’authentification. L’utilisateur peut désormais fournir le second mot de passe. L’utilisateur est autorisé à accéder à l’appliance NetScaler uniquement si les deux mots de passe sont corrects. Le schéma suivant illustre le fonctionnement de l’authentification à deux facteurs pour une appliance NetScaler.
Vous trouverez ci-dessous les différents cas d’utilisation permettant de configurer l’authentification à deux facteurs pour les utilisateurs externes et les utilisateurs du système.
Vous pouvez configurer l’authentification à deux facteurs sur une appliance NetScaler de différentes manières. Voici les différents scénarios de configuration pour l’authentification à deux facteurs sur une appliance NetScaler.
- Authentification à deux facteurs (2FA) sur NetScaler, GUI, CLI, API et SSH.
- Authentification externe activée et authentification locale désactivée pour les utilisateurs du système.
- Authentification externe activée avec une authentification locale basée sur des règles pour les utilisateurs du système.
- Authentification externe désactivée pour les utilisateurs du système lorsque l’authentification locale est activée.
- Authentification externe activée et authentification locale activée pour les utilisateurs du système.
- Authentification externe activée pour les utilisateurs LDAP sélectionnés
Cas d’utilisation 1 : authentification à deux facteurs (2FA) sur les interfaces NetScaler, GUI, CLI, API et SSH
L 'authentification两个facteurs est activée et disponible pour tous les accès de gestion NetScaler pour l’interface graphique, l’API et le SSH.
Cas d’utilisation 2 : authentification à deux facteurs prise en charge sur des serveurs d’authentification externes tels que LDAP, RADIUS, Active Directory et TACACS
Vous pouvez configurer l’authentification à deux facteurs sur les serveurs d’authentification externes suivants pour l’authentification utilisateur de premier et de second niveau.
- RADIUS
- LDAP
- 活性e Directory
- TACACS
Cas d’utilisation 3 : authentification externe activée et authentification locale désactivée pour les utilisateurs du système
Vous commencez le processus d’authentification en activant l’option d’authentification externe et en désactivant l’authentification locale pour les utilisateurs du système.
Procédez comme suit à l’aide de l’interface de ligne de commande :
- Ajouter une action d’authentification pour la stratégie LDAP
- Ajouter une stratégie d’authentification pour la stratégie LDAP
- Ajouter une action d’authentification pour la stratégie RADIUS
- Ajouter une stratégie d’authentification pour la stratégie RADIUS
- Ajouter un schéma de connexion d’authentification
- Ajouter et lier une étiquette de stratégie d’authentification au serveur RADIUS
- Authentification globale du système Bind pour la stratégie LDAP
- Désactiver l’authentification locale dans les paramètres du système
Ajouter une action d’authentification pour le serveur LDAP (authentification de premier niveau)
À l’invite de commande, tapez :
add authentication ldapaction
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Ajouter une stratégie d’authentification pour le serveur LDAP (authentification de premier niveau)
À l’invite de commande, tapez :add authentication policy
Exemple :add authentication policy pol1 -rule true -action ldapact1
Ajouter une action d’authentification pour le serveur RADIUS (authentification de deuxième niveau)
À l’invite de commande, tapez :
add authentication radiusaction
Exemple :
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Ajouter une stratégie d’authentification pour le serveur RADIUS (authentification de deuxième niveau)
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy radpol11 -rule true -action radact1
Ajouter un schéma de connexion d’authentification
Vous pouvez utiliser le schéma de connexion « SingleAuth.xml » pour les utilisateurs du système afin de fournir le second mot de passe de l’appliance NetScaler. À l’invite de commande, tapez :
add authentication loginSchema
Exemple:
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Ajouter et lier une étiquette de stratégie d’authentification au serveur RADIUS
À l’invite de commande, tapez :
add authentication policylabel
bind authentication policylabel
Exemple :
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel label1 -policyName radpol11 -priority 1
Système d’authentification Bind global pour la stratégie LDAP
À l’invite de commande, tapez :
bind system global ldappolicy -priority
Exemple :
bind system global pol11 -priority 1 -nextFactor label1
Désactiver l’authentification locale dans les paramètres du système
À l’invite de commande, tapez :
set system parameter -localauth disabled
Cas d’utilisation 4 : authentification externe activée pour l’utilisateur du système avec une stratégie d’authentification locale attachée
Dans ce scénario, l’utilisateur est autorisé à se connecter à l’appliance à l’aide d’une authentification à deux facteurs avec une évaluation de la stratégie d’authentification locale au deuxième niveau d’identification de l’utilisateur.
Procédez comme suit à l’aide de l’interface de ligne de commande.
- Ajouter une action d’authentification pour le serveur LDAP
- Ajouter une stratégie d’authentification pour la stratégie LDAP
- Ajouter une stratégie d’authentification locale
- Ajouter une étiquette de stratégie d’authentification
- Lier la stratégie LDAP en tant que système global
- Désactiver l’authentification locale dans les paramètres du système
Ajouter une action d’authentification pour le serveur LDAP (authentification de premier niveau)
À l’invite de commande, tapez :
add authentication ldapaction
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name –ssoNameAttribute name
Ajouter une stratégie d’authentification pour le serveur LDAP (authentification de premier niveau)
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Ajouter une stratégie d’authentification locale pour les utilisateurs du système (authentification de deuxième niveau)
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy local_policy -rule true -action LOCAL
Ajouter et lier une étiquette de stratégie d’authentification
À l’invite de commande, tapez :
add authentication policylabel
bind authentication policylabel
Remarque
Pour l’accès de gestion, le type de stratégie doit être RBA_REQ.
Exemple :
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel label1 -policyName radpol11 -priority 1 -gotoPriorityExpression NEXT
Désactiver l’authentification locale dans les paramètres du système
À l’invite de commande, tapez :
set system parameter -localauth disabled
ca d 'utilisation 5:认证走读生desactivée et authentification locale activée pour l’utilisateur du système
Si « ExternalAuth » est désactivé pour l’utilisateur, cela indique qu’il n’existe pas sur le serveur d’authentification. L’utilisateur n’est pas authentifié auprès du serveur d’authentification externe, même si un utilisateur portant le même nom d’utilisateur existe sur le serveur externe authentifié. L’utilisateur est authentifié localement.
Pour activer le mot de passe utilisateur du système et désactiver l’authentification externe
À l’invite de commandes, tapez ce qui suit :
add system user
Exemple :
add system user user1 password1 –externalAuth DISABLED
Cas d’utilisation 6 : authentification externe activée et authentification locale activée pour les utilisateurs du système
Configurer l’appliance pour authentifier les utilisateurs du système à l’aide d’un mot de passe local. Si cette authentification échoue, l’utilisateur est alors authentifié à l’aide d’un mot de passe d’authentification externe sur les serveurs d’authentification externes à deux niveaux.
Configurez les étapes suivantes à l’aide de l’interface de ligne de commande.
- Ajouter une action d’authentification pour le serveur LDAP
- Ajouter une stratégie d’authentification pour la stratégie LDAP
- Ajouter une action d’authentification pour la stratégie RADIUS
- Ajouter une stratégie d’authentification pour la stratégie RADIUS
- Ajouter un schéma de connexion d’authentification
- Ajouter une étiquette de stratégie d’authentification
- Liez l’étiquette de la stratégie d’authentification au schéma de connexion
- Système d’authentification Bind global pour la stratégie RADIUS
- Système d’authentification Bind global pour la stratégie LDAP
Ajouter une action d’authentification pour le serveur LDAP
À l’invite de commande, tapez :
add authentication ldapaction
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Ajouter une stratégie d’authentification pour la stratégie LDAP
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy pol1 -rule true -action ldapact1
Ajouter une action d’authentification pour le serveur RADIUS
À l’invite de commande, tapez :
add authentication radiusaction
Exemple :
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Ajouter une stratégie d’authentification avancée pour le serveur RADIUS
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy radpol11 -rule true -action radact1
Ajouter un schéma de connexion d’authentification
Vous pouvez utiliser le schéma de connexion SingleAuth.xml pour afficher la page de connexion et authentifier l’utilisateur du système lors de l’authentification de deuxième niveau.
À l’invite de commande, tapez :
add authentication loginSchema
Exemple :
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Ajouter et lier une étiquette de stratégie d’authentification à la stratégie d’authentification RADIUS pour la connexion utilisateur
À l’invite de commande, tapez :
add authentication policylabel
Exemple :
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel
Exemple :
bind authentication policylabel label1 -policyName rad pol11 -priority 1
Stratégie d’authentification Bind globale
À l’invite de commande, tapez :
bind system global [
Exemple :
bind system global radpol11 -priority 1 -nextFactor label11
Cas d’utilisation 7 : Authentification externe activée uniquement pour certains utilisateurs externes
Pour configurer des utilisateurs externes sélectifs avec une authentification à deux facteurs conformément au filtre de recherche configuré dans l’action LDAP, tandis que les autres utilisateurs du système sont authentifiés à l’aide d’une authentification à facteur unique.
Configurez les étapes suivantes à l’aide de l’interface de ligne de commande.
- Ajouter une action d’authentification pour le serveur LDAP
- Ajouter une stratégie d’authentification pour la stratégie LDAP
- Ajouter une action d’authentification pour la stratégie RADIUS
- Ajouter une stratégie d’authentification pour la stratégie RADIUS
- Ajouter un schéma de connexion d’authentification
- Ajouter une étiquette de stratégie d’authentification
- Liez l’étiquette de la stratégie d’authentification au schéma de connexion
- Système d’authentification Bind global pour la stratégie RADIUS
Ajouter une action d’authentification pour le serveur LDAP
À l’invite de commande, tapez :
add authentication ldapaction
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Ajouter une stratégie d’authentification pour la stratégie LDAP
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy pol1 -rule true -action ldapact1
Ajouter une action d’authentification pour le serveur RADIUS
À l’invite de commande, tapez :
add authentication radiusaction
Exemple :
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Ajouter une stratégie d’authentification avancée pour le serveur RADIUS
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy radpol11 -rule true -action radact1
Ajouter un schéma de connexion d’authentification
Vous pouvez utiliser le schéma de connexion SingleAuth.xml pour fournir la page de connexion permettant à l’appliance d’authentifier un utilisateur du système à un deuxième niveau d’authentification.
À l’invite de commande, tapez :
add authentication loginSchema
Exemple :
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Ajouter et lier une étiquette de stratégie d’authentification à la stratégie d’authentification RADIUS pour la connexion utilisateur
À l’invite de commande, tapez :
add authentication policylabel
Exemple :
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel
Exemple :
bind authentication policylabel label1 -policyName radpol11 -priority
Stratégie d’authentification Bind globale
À l’invite de commande, tapez :
bind system global [
Exemple :
bind system global radpol11 -priority 1 -nextFactor label11
Pour configurer sans authentification à deux facteurs pour les utilisateurs du groupe à l’aide du filtre de recherche, procédez comme suit :
- Ajouter une action d’authentification pour le serveur LDAP
- Ajouter une stratégie d’authentification pour le serveur LDAP
- Système d’authentification Bind global pour le serveur LDAP
Ajouter une action d’authentification pour le serveur LDAP
À l’invite de commande, tapez :
add authentication ldapaction
Exemple :
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name - searchFilter "memberOf=CN=grp4,CN=Users,DC=aaatm-test,DC=com"
Ajouter une stratégie d’authentification pour le serveur LDAP
À l’invite de commande, tapez :
add authentication policy
Exemple :
add authentication policy pol1 -rule true -action ldapact1
Système d’authentification Bind global pour la stratégie LDAP
À l’invite de commande, tapez :
bind system global ldappolicy -priority
Exemple :
bind system global pol11 -priority 1 -nextFactor label11
Afficher un message d’invite personnalisé pour une authentification à deux facteurs
Lorsque vous configurez un champ de mot de passe à deux facteurs avec le fichier SingleAuth.xml sur/flash/nsconfig/loginschema/LoginSchema
Voici l 'extrait d一个文件SingleAuth.xml ou«年代econdPassword : » est le nom du deuxième champ de mot de passe qui est invité à saisir un second mot de passe.
success more-info /nf/auth/doAuthentication.do /nf/auth/doLogoff.do Cancel login ExplicitForms-Username username singleauth_please_supply_either_domain\username_or_user@fully.qualified.domain false false .+ passwd ExplicitForms-Password password true false .+ none saveCredentials savecredentials false loginBtn none
Configuration de l’authentification à deux facteurs à l’aide de l’interface graphique NetScaler
- Connectez-vous à l’appliance NetScaler.
- Accédez àSystème>Authentification>Stratégies avancées>Stratégie.
- Cliquez sur Ajouter pour créer la stratégie d’authentification de premier niveau.
- Dans la pageCréer une stratégie d’authentification, définissez les paramètres suivants.
- Nom. Nom de la stratégie
- Type d’action. Sélectionnez le type d’action comme LDAP, Active Directory, RADIUS, TACACS, etc.
- Action. Action d’authentification (profil) à associer à la stratégie. Vous pouvez choisir une action d’authentification existante ou cliquer sur le signe plus et créer une action du type approprié.
- Expression : Fournissez une expression de stratégie avancée.
- Cliquez surCréer, puis surFermer.
- Expression : Fournissez une expression de stratégie avancée.
- Cliquez surCreate.
- Cliquez surAjouterpour créer la stratégie d’authentification de deuxième niveau.
- Sur la pageCréer une stratégie d’authentification, définissez les paramètres suivants :
- Nom. Nom de la stratégie
- Type d’action. Sélectionnez le type d’action comme LDAP, Active Directory, RADIUS, TACACS, etc.
- Action. Action d’authentification (profil) à associer à la stratégie. Vous pouvez choisir une action d’authentification existante ou cliquer sur l’icône + pour créer une action du type approprié.
- Expression : Fournir une expression de stratégie avancée
- Cliquez surCréer, puis surFermer.
- Expression : Fournissez une expression de stratégie avancée.
- Cliquez surCreate.
- Sur la pageStratégies d’authentification, cliquez surGlobal Binding.
- Sur la pageCréer une liaison de stratégie d’authentification globale, sélectionnez la stratégie d’authentification de premier niveau, puis cliquez surAjouter une liaison.
- Sur la pageLiaison de stratégies, sélectionnez la stratégie d’authentification et définissez le paramètre de liaison de stratégie suivant.
- Facteur suivant. Sélectionnez l’étiquette de la stratégie d’authentification de deuxième niveau.
Cliquez surLieretfermer.
- Cliquez surTerminé.
- Connectez-vous à l’appliance NetScaler pour l’authentification de deuxième niveau. L’utilisateur peut désormais fournir le second mot de passe. L’utilisateur est autorisé à accéder à l’appliance NetScaler uniquement si les deux mots de passe sont corrects.
Remarque
Le TACACS configuré pour une authentification à second facteur ne prend pas en charge l’autorisation et la comptabilité, même si vous l’activez sur la commande « TACACSaction ». Le deuxième facteur est utilisé uniquement à des fins d’authentification.
Consultez également la rubrique Authentification àdeux facteurs dans la rubrique Authentification NetScaler nFactor.
Dans cet article
- Comment fonctionne l’authentification à deux facteurs
- Cas d’utilisation 1 : authentification à deux facteurs (2FA) sur les interfaces NetScaler, GUI, CLI, API et SSH
- Cas d’utilisation 2 : authentification à deux facteurs prise en charge sur des serveurs d’authentification externes tels que LDAP, RADIUS, Active Directory et TACACS
- Cas d’utilisation 3 : authentification externe activée et authentification locale désactivée pour les utilisateurs du système
- Cas d’utilisation 4 : authentification externe activée pour l’utilisateur du système avec une stratégie d’authentification locale attachée
- ca d 'utilisation 5:认证走读生desactivée et authentification locale activée pour l’utilisateur du système
- Cas d’utilisation 6 : authentification externe activée et authentification locale activée pour les utilisateurs du système
- Cas d’utilisation 7 : Authentification externe activée uniquement pour certains utilisateurs externes
- Configuration de l’authentification à deux facteurs à l’aide de l’interface graphique NetScaler