Gestione dell'autenticazione con più fattori

Solo l'utente può abilitare l'autenticazione a più fattori (MFA) per il proprio account. Gli utenti possono anche disabilitare l'autenticazione MFA per i propri account. I membri del gruppo di amministratori possono disabilitare l'autenticazione MFA per altri utenti, ma non possono abilitare l'autenticazione MFA per un altro utente.

L'autenticazione a più fattori è un metodo di autenticazione che richiede l'uso di più fattori per verificare l'identità di un utente.

Con l'autenticazione MFA abilitata nel servizio IAM, quando un utente accede a Oracle Cloud Infrastructure, viene loro richiesto il nome utente e la password, che sono il primo fattore (qualcosa che sanno). Viene quindi richiesto all'utente di fornire un secondo codice di verifica da un dispositivo MFA registrato, che è il secondo fattore (qualcosa di cui dispone). I due fattori lavorano insieme, richiedendo un ulteriore livello di sicurezza per verificare l'identità dell'utente e completare il processo di accesso.

In generale, l'AMF può includere due dei seguenti elementi:

• Qualcosa che conosci, come una password.

• Qualcosa che hai, come un dispositivo.

• Qualcosa che sei, come la tua impronta digitale.

Il servizio IAM supporta l'autenticazione a due fattori utilizzando una password (primo fattore) e un dispositivo in grado di generare una password monouso basata sul tempo (TOTP, time-based one-time password, secondo fattore).

Ecco un elenco dei concetti di base che devi conoscere.

AUTENTICAZIONE CON PIÙ FATTORI (MFA)

L'autenticazione a più fattori (MFA) è un metodo di autenticazione che richiede l'uso di più fattori per verificare l'identità di un utente. Esempi di fattori di autenticazione sono una password (qualcosa che conosci) e un dispositivo (qualcosa che hai).

APPLICAZIONE DI AUTENTICAZIONE

Un'app installata sul dispositivo mobile in grado di fornire token sicuri basati su software per la verifica dell'identità. Esempi di applicazioni di autenticazione sono Oracle Mobile Authenticator e Google Authenticator. Per abilitare l'autenticazione MFA per il servizio IAM, è necessario un dispositivo con un'applicazione di autenticazione installata. Utilizzerai l'app per registrare il tuo dispositivo e poi utilizzerai la stessa app (sulla stessa periferica) per generare un passcode monouso basato sul tempo ogni volta che accedi.

DISPOSITIVO PORTATILE REGISTRATO

L'autenticazione con più fattori è abilitata per un utente specifico e per un dispositivo specifico. La procedura per abilitare l'autenticazione MFA per un utente include la registrazione del dispositivo mobile. Questo stesso dispositivo deve essere utilizzato per generare il passcode monouso basato sul tempo ogni volta che l'utente accede. Se il dispositivo mobile registrato non è più disponibile, un amministratore deve disabilitare l'autenticazione MFA per l'utente in modo che l'autenticazione MFA possa essere riabilitata con un nuovo dispositivo.

PASSWORD MONOUSO BASATA SUL TEMPO (TOTP)

Un TOTP è una password (o passcode) generata da un algoritmo che calcola una password monouso da una chiave segreta condivisa e l'ora corrente, come definito nella RFC 6238. L'applicazione di autenticazione sul dispositivo mobile registrato genera il TOTP che è necessario immettere ogni volta che si accede a Oracle Cloud Infrastructure.

Le seguenti applicazioni di autenticazione sono state testate con il servizio IAM di Oracle Cloud Infrastructure:

• Oracle Mobile Authenticator
• Google Authenticator

Puoi trovare queste app nell'app store del tuo dispositivo mobile. È necessario installare una di queste applicazioni sul dispositivo mobile prima di poter abilitare l'autenticazione MFA.

Quando si abilita l'autenticazione MFA, tenere presente quanto riportato di seguito.

• È necessario installare un'applicazione autenticatore supportata sul dispositivo mobile che si desidera registrare per l'autenticazione MFA.
• Ogni utente deve abilitare l'autenticazione MFA per se stesso utilizzando un dispositivo a cui avrà accesso ogni volta che si connette. Un amministratore non può abilitare l'autenticazione MFA per un altro utente.
• Per abilitare l'autenticazione MFA, utilizzare l'applicazione di autenticazione del dispositivo mobile per eseguire la scansione di un codice QR generato dal servizio IAM e visualizzato nella console. Il codice QR condivide una chiave segreta con l'applicazione per consentire all'applicazione di generare TOTP che possono essere verificati dal servizio IAM.
• Un utente può registrare un solo dispositivo da utilizzare per l'autenticazione MFA.
• Dopo aver aggiunto l'account Oracle Cloud Infrastructure all'applicazione di autenticazione, il nome dell'account viene visualizzato nell'applicazione di autenticazione come Oracle <tenancy_name> - <username>.

È possibile limitare l'accesso alle risorse solo agli utenti autenticati mediante l'autenticazione con password monouso basata sul tempo del servizio IAM. Questa limitazione viene impostata nel criterio che consente l'accesso alla risorsa.

Per limitare l'accesso concesso tramite un criterio solo agli utenti sottoposti a verifica MFA, aggiungere il seguente where clause al criterio:

where request.user.mfaTotpVerified='true'

Si supponga, ad esempio, che l'azienda disponga di questo criterio per consentire a GroupA di gestire le istanze.

allow group GroupA to manage instance-family in tenancy

Per migliorare la sicurezza, è necessario assicurarsi che solo gli utenti verificati mediante l'autenticazione MFA possano gestire le istanze. Per limitare l'accesso solo a questi utenti, rivedere l'istruzione dei criteri come indicato di seguito.

allow group GroupA to manage instance-family in tenancy where request.user.mfaTotpVerified='true'

Con questo criterio in vigore, solo i membri di GroupA che hanno eseguito correttamente l'accesso immettendo sia la password che il passcode monouso basato sul tempo generato dal dispositivo mobile registrato possono accedere e gestire le istanze. Agli utenti che non hanno abilitato l'autenticazione MFA e che si collegano utilizzando solo la password, non sarà consentito l'accesso per gestire le istanze.

Per informazioni sulla scrittura dei criteri, vedere Sintassi dei criteri.

Dopo aver abilitato l'autenticazione MFA, utilizzare una delle seguenti procedure per collegarsi a Oracle Cloud Infrastructure:

Se perdi il tuo dispositivo mobile registrato, non sarai in grado di eseguire l'autenticazione a Oracle Cloud Infrastructure tramite la console. Contattare l'amministratore per disabilitare l'autenticazione con più fattori per l'account. È quindi possibile ripetere il processo per abilitare l'autenticazione a più fattori con un nuovo dispositivo mobile.

Se un utente prova 10 volte di fila a collegarsi alla console senza successo, verrà automaticamente bloccato da ulteriori tentativi di accesso. Un amministratore può sbloccare l'utente nella console (vedere Per sbloccare un utente) o con l'operazione API UpdateUserState.

Ogni utente può disabilitare l'autenticazione MFA per se stesso. Un amministratore può anche disabilitare l'autenticazione MFA per un altro utente.

Utilizzare le procedure riportate di seguito per gestire l'autenticazione MFA nella console.

Per informazioni sull'uso dell'API e delle richieste di firma, consulta la documentazione dell'API REST e le credenziali di sicurezza. Per informazioni sugli SDK, vedere SDK e l'interfaccia CLI.

Utilizza le seguenti operazioni API per gestire i dispositivi di autenticazione con più fattori:

• CreateMfaTotpDevice
• ListMfaTotpDevices
• GetMfaTotpDevice
• DeleteMfaTotpDevice
• ActivateMfaTotpDevice
• GenerateTotpSeed