Zwei-Faktor-Authentifizierung erzwingen
Verlangen Sie von Mitgliedern die Anmeldung per Authenticator-App, sehen Sie, wer 2FA nutzt, und verwalten Sie Wiederherstellungscodes und Step-up-Prüfungen.
Die Zwei-Faktor-Authentifizierung (2FA) fügt der Anmeldung einen zweiten Schritt hinzu: Nach dem Passwort gibt ein Mitglied einen 6-stelligen Code aus einer Authenticator-App ein, z. B. Google Authenticator, 1Password oder Authy. Der Code ändert sich alle 30 Sekunden. Jedes Mitglied kann 2FA für sein eigenes Konto aktivieren, und ein Inhaber kann sie für die Mitglieder der Organisation verlangen.
Voraussetzungen
- Um 2FA zu verlangen, benötigen Sie die Rolle Besitzer, zugewiesen auf Abonnementebene. Ein Inhaber eines Projekts oder ein Mitglied mit einer benutzerdefinierten Rolle kann die Einstellung nicht ändern; für diese Personen ist sie schreibgeschützt.
- Aktivieren Sie 2FA zuerst für Ihr eigenes Konto, damit Sie bei Ihrer nächsten Anmeldung nicht aufgefordert werden, sie einzurichten. Siehe Zwei-Faktor-Authentifizierung einrichten.
Zwei-Faktor-Authentifizierung verlangen
Wechseln Sie in der Konsole zu Identität & ZugriffAuthentifizierung.
Aktivieren Sie unter Organisationsrichtlinie die Option 2FA für alle Mitglieder erzwingen.
Die Einstellung wird sofort ohne Bestätigung gespeichert. Wenn Sie sie aktivieren:
- Mitglieder ohne 2FA richten sie bei ihrer nächsten Anmeldung ein. Das gilt auch für Personen, die eine Einladung annehmen, während die Einstellung aktiviert ist: Diese Personen richten 2FA bei ihrer ersten Anmeldung ein. Nach der Eingabe ihres Passworts müssen sie einen Authenticator einrichten, bevor sie die Anmeldung abschließen können. Siehe Was Mitglieder bei der Anmeldung sehen.
- Offene Sitzungen bleiben bestehen. Bereits geöffnete Sitzungen werden nicht beendet. Wie Sie die Sitzungen eines Mitglieds beenden, erfahren Sie unter Sitzungen verwalten.
- API-Tokens und Dienstkonten sind nicht betroffen. Diese melden sich nicht an.
Um 2FA nicht mehr zu verlangen, deaktivieren Sie 2FA für alle Mitglieder erzwingen. Mitglieder, die 2FA eingerichtet haben, behalten sie.
Was Mitglieder bei der Anmeldung sehen
Wenn ein Mitglied 2FA einrichten muss, wird die Anmeldung nach dem Passwort so fortgesetzt:
Die Konsole zeigt einen QR-Code und einen Schlüssel zur manuellen Eingabe mit der Meldung: Ihre Organisation verlangt eine Zwei-Faktor-Authentifizierung. Richten Sie eine Authenticator-App ein, um die Anmeldung abzuschließen.
Das Mitglied scannt den QR-Code mit seiner Authenticator-App oder gibt den Schlüssel ein.
Das Mitglied gibt den 6-stelligen Code aus der App im Feld Verifizierungscode ein und wählt Verifizieren und abschließen aus.
Die Konsole zeigt die Wiederherstellungscodes des Mitglieds nur einmal an. Das Mitglied speichert sie, bestätigt, dass es sie gespeichert hat, und wählt Weiter zur Konsole aus.
Das Mitglied hat 5 Minuten und 5 Versuche, um einen korrekten Code einzugeben. Danach beginnt es erneut mit seinem Passwort. Von da an gibt das Mitglied bei jeder Anmeldung einen Code aus der App ein.
Sehen, wer 2FA nutzt
- Unter Identität & ZugriffBenutzer zeigt die Spalte MFA für jedes Mitglied Ein oder Aus an.
- Auf der Seite eines Mitglieds zeigt MFA auf der Registerkarte Übersicht den Wert Aktiviert oder Nicht konfiguriert an.
Ein Mitglied gilt erst dann als Nutzer von 2FA, wenn es seinen Authenticator mit einem Code bestätigt hat. Eine begonnene, aber nicht bestätigte Einrichtung wird als deaktiviert angezeigt.
Wiederherstellungscodes
Mit Wiederherstellungscodes kann sich ein Mitglied ohne seine Authenticator-App anmelden. Wie Sie sie verwenden oder einen neuen Satz generieren, erfahren Sie unter Wiederherstellungscodes.
2FA für Ihr Konto deaktivieren
Wechseln Sie zu Identität & ZugriffAuthentifizierung, und wählen Sie Zwei-Faktor-Authentifizierung deaktivieren aus.
Geben Sie im Feld Authentifikator-Code einen aktuellen Code oder im Feld Kontopasswort Ihr Passwort ein.
Wählen Sie 2FA deaktivieren aus.
Ihr Authenticator und Ihre Wiederherstellungscodes werden entfernt. Wenn 2FA für Sie verlangt wird, richten Sie sie bei Ihrer nächsten Anmeldung erneut ein.
Wenn ein Mitglied seinen Authenticator verliert
- Mit einem Wiederherstellungscode. Das Mitglied meldet sich mit einem Wiederherstellungscode an, deaktiviert 2FA und richtet sie mit dem neuen Gerät erneut ein.
- Ohne Wiederherstellungscodes. Ein Mitglied mit der Rolle Besitzer oder einer benutzerdefinierten Rolle mit der Zugriffsebene Verwalten für Identity & Access kann den zweiten Faktor des Mitglieds über die API entfernen, mit dem Vorgang POST
/scopes/{scopeId}/iam/users/{userId}/actions/revokeund dem Zielmfa_device. Dafür gibt es keine Aktion in der Konsole. Sie können den zweiten Faktor eines Mitglieds, das in einem beliebigen Bereich über Ihnen steht, nicht entfernen. Wenn 2FA für das Mitglied verlangt wird, richtet es bei seiner nächsten Anmeldung einen neuen Authenticator ein.
Step-up-Bestätigung
Einige Aktionen erfordern eine aktuelle 2FA-Bestätigung in der Konsolensitzung, die Sie verwenden, auch wenn Sie bereits angemeldet sind:
| Aktion | Was abgefragt wird | Gültig für |
|---|---|---|
| Ein OpenStack-Anwendungs-Credential für sich selbst oder ein Dienstkonto erstellen | Ein 6-stelliger Code aus Ihrer Authenticator-App | 5 Minuten |
| Ein OpenStack-Anwendungs-Credential rotieren | Ein 6-stelliger Code aus Ihrer Authenticator-App | 5 Minuten |
| Den OpenStack-API-Zugriff Ihrer Organisation ein- oder ausschalten | Ein 6-stelliger Code aus Ihrer Authenticator-App | 5 Minuten |
Wenn Sie eine dieser Aktionen ohne aktuelle Bestätigung starten, zeigt die Konsole Bestätigen Sie Ihre Identität an. Geben Sie den Code im Feld Authentifikator-Code ein, und wählen Sie Code bestätigen aus. Die Aktion wird dann fortgesetzt.
- Eine Bestätigung gilt 5 Minuten lang in der Sitzung, in der Sie sie eingegeben haben. Eine Anmeldung mit einem Code aus Ihrer Authenticator-App zählt ebenfalls, für 5 Minuten nach der Anmeldung.
- Wiederherstellungscodes werden für eine Step-up-Bestätigung (erneute Zwei-Faktor-Bestätigung) nicht akzeptiert, und eine Anmeldung mit einem Wiederherstellungscode zählt nicht als solche.
- Für das Widerrufen eines OpenStack-Anwendungs-Credentials ist keine Step-up-Bestätigung erforderlich.
Wenn Sie 2FA nicht eingerichtet haben, zeigt die Konsole stattdessen Richten Sie zuerst die Zwei-Faktor-Authentifizierung ein an, und die Aktion wird nicht ausgeführt. Wählen Sie Zwei-Faktor-Authentifizierung einrichten aus, richten Sie 2FA ein, und starten Sie die Aktion erneut.
API-Tokens und Schlüssel von Dienstkonten können diese Aktionen nicht ausführen, weil sie keine Step-up-Bestätigung abschließen können.