Gestione dell'autenticazione con più fattori

Solo l'utente può abilitare l'autenticazione a più fattori (MFA) per il proprio account. Gli utenti possono anche disabilitare l'autenticazione MFA per i propri account. I membri del gruppo Amministratori possono disabilitare l'autenticazione MFA per altri utenti, ma non possono abilitarla per un altro utente.

L'autenticazione a più fattori è un metodo di autenticazione che richiede l'uso di più fattori per verificare l'identità di un utente.

Quando nel servizio IAM è abilitato l'MFA, al momento dell'accesso a Oracle Cloud Infrastructure, all'utente verranno richiesti il nome utente e la password, che rappresentano il primo fattore (qualcosa che conosce). All'utente viene quindi richiesto di fornire un secondo codice di verifica da un dispositivo MFA registrato, che rappresenta il secondo fattore (qualcosa che possiede). I due fattori operano congiuntamente, richiedendo un ulteriore livello di sicurezza per verificare l'identità dell'utente e completare il processo di accesso.

In generale, l'AMF può includere due dei seguenti elementi:

• Qualcosa che conosci, come una password.

• Qualcosa che hai, come un dispositivo.

• Qualcosa che si è, come un'impronta digitale.

Il servizio IAM supporta l'autenticazione a due fattori utilizzando una password (primo fattore) e un dispositivo in grado di generare una password monouso (TOTP, one-time password) basata sul tempo (secondo fattore).

Ecco un elenco dei concetti di base che devi conoscere.

AUTENTICAZIONE CON PIÙ FATTORI (MFA)

L'autenticazione a più fattori (MFA) è un metodo di autenticazione che richiede l'uso di più fattori per verificare l'identità di un utente. Esempi di fattori di autenticazione sono una password (qualcosa che conosci) e un dispositivo (qualcosa che hai).

APPLICAZIONE AUTHENTICATOR

Applicazione che si installa sul dispositivo mobile in grado di fornire token sicuri basati su software per la verifica dell'identità. Gli autenticatori possono essere ad esempio Oracle Mobile Authenticator e Google Authenticator. Per abilitare l'autenticazione MFA per il servizio IAM, è necessario un dispositivo con un'app autenticatore installata. L'utente dovrà registrare il proprio dispositivo tramite l'applicazione e successivamente utilizzare la stessa applicazione (sullo stesso dispositivo) per generare un passcode mono uso basato sul tempo ogni volta che si esegue l'accesso.

DISPOSITIVO MOBILE REGISTRATO

L'autenticazione a più fattori è abilitata per un utente specifico e per un dispositivo specifico. La procedura per abilitare l'autenticazione MFA per un utente include la registrazione del dispositivo mobile. Questo stesso dispositivo deve essere utilizzato per generare il passcode monouso basato sul tempo ogni volta che l'utente accede. Se il dispositivo mobile registrato non è più disponibile, un amministratore deve disabilitare l'autenticazione MFA per l'utente in modo che l'autenticazione MFA possa essere riabilitata con un nuovo dispositivo.

PASSWORD MONOUSO BASATA SUL TEMPO (TOTP)

Un TOTP è una password (o passcode) generata da un algoritmo che calcola una password una tantum da una chiave segreta condivisa e l'ora corrente, come definito in RFC 6238. L'app Authenticator sul tuo dispositivo mobile registrato genera il TOTP che devi inserire ogni volta che accedi a Oracle Cloud Infrastructure.

Le seguenti applicazioni di autenticazione sono state testate con il servizio IAM di Oracle Cloud Infrastructure:

• Oracle Mobile Authenticator
• Google Authenticator

Puoi trovare queste app nell'app store del tuo dispositivo mobile. È necessario installare una di queste app sul dispositivo mobile prima di poter abilitare l'autenticazione MFA.

Tenere presente quanto riportato di seguito quando si abilita l'autenticazione MFA.

• È necessario installare un'app di autenticazione supportata sul dispositivo mobile che si intende registrare per l'autenticazione MFA.
• Ogni utente deve abilitare MFA per se stesso utilizzando un dispositivo a cui avrà accesso ogni volta che accede. Un amministratore non può abilitare l'autenticazione MFA per un altro utente.
• Per abilitare l'autenticazione MFA, utilizzare l'applicazione di autenticazione del dispositivo mobile per eseguire la scansione di un codice QR generato dal servizio IAM e visualizzato nella console. Il codice QR condivide una chiave segreta con l'applicazione per consentire all'applicazione di generare TOTP che possono essere verificati dal servizio IAM.
• Un utente può registrare un solo dispositivo da utilizzare per l'autenticazione MFA.
• Dopo aver aggiunto l'account Oracle Cloud Infrastructure all'applicazione di autenticazione, il nome dell'account viene visualizzato nell'applicazione di autenticazione come Oracle <tenancy_name> - <username>.

È possibile limitare l'accesso alle risorse solo agli utenti che sono stati autenticati tramite l'autenticazione con password una tantum basata sul tempo del servizio IAM. Impostare questa limitazione nel criterio che consente l'accesso alla risorsa.

Per limitare l'accesso concesso tramite un criterio solo agli utenti verificati tramite MFA, aggiungere il seguente where clause al criterio:

where request.user.mfaTotpVerified='true'

Ad esempio, si supponga che l'azienda disponga di questo criterio per consentire a GroupA di gestire le istanze:

allow group GroupA to manage instance-family in tenancy

Per migliorare la sicurezza, è necessario assicurarsi che solo gli utenti verificati tramite l'autenticazione MFA possano gestire le istanze. Per limitare l'accesso solo a questi utenti, rivedere l'istruzione dei criteri come indicato di seguito.

allow group GroupA to manage instance-family in tenancy where request.user.mfaTotpVerified='true'

Con questa policy in vigore, solo i membri di GroupA che hanno eseguito correttamente l'accesso immettendo sia la password che il passcode monouso basato sul tempo generato dal proprio dispositivo mobile registrato possono accedere e gestire le istanze. Gli utenti che non hanno abilitato l'autenticazione MFA e si collegano utilizzando solo la password non potranno accedere alla gestione delle istanze.

Per informazioni sulla scrittura dei criteri, vedere Sintassi dei criteri.

Dopo aver abilitato l'autenticazione MFA, utilizzare una delle procedure riportate di seguito per connettersi a Oracle Cloud Infrastructure.

Se perdi il tuo dispositivo mobile registrato, non potrai eseguire l'autenticazione a Oracle Cloud Infrastructure tramite la console. Contattare l'amministratore per disabilitare l'autenticazione con più fattori per l'account. È quindi possibile ripetere il processo per abilitare l'autenticazione a più fattori con un nuovo dispositivo mobile.

Se un utente tenta di eseguire l'accesso alla console 10 volte di fila senza successo, verrà automaticamente bloccato da ulteriori tentativi di accesso. Un amministratore può sbloccare l'utente nella console (vedere Per sbloccare un utente) o con l'operazione API UpdateUserState.

Ogni utente può disabilitare MFA per se stesso. Un amministratore può anche disabilitare l'autenticazione MFA per un altro utente.

Utilizzare le procedure riportate di seguito per gestire l'autenticazione MFA nella console.

Per informazioni sull'uso dell'API e sulle richieste di firma, consultare la documentazione relativa all'API REST e le credenziali di sicurezza. Per informazioni sugli SDK, vedere SDK e CLI.

Utilizza le seguenti operazioni API per gestire i dispositivi di autenticazione a più fattori:

• CreateMfaTotpDevice
• ListMfaTotpDevices
• GetMfaTotpDevice
• DeleteMfaTotpDevice
• ActivateMfaTotpDevice
• GenerateTotpSeed