Solicitați autentificare cu doi factori pentru utilizatorii Nextcloud

Pentru a aplica autentificarea cu doi factori (2FA) în Nextcloud, activați mai întâi cel puțin un furnizor 2FA, apoi activați aplicația în Setări de administrare → Securitate sau utilizați occ twofactorauth:enforcecomanda . Un furnizor este metoda care furnizează a doua dovadă a identității, cum ar fi un cod unic de la o aplicație de autentificare. Aplicarea face ca 2FA să fie obligatorie pentru domeniul de aplicare ales; simpla instalare a unui furnizor nu o face. Acești pași respectă Manualul de administrare Nextcloud 35 actual.

Aflați ce modificări se aplică

Nextcloud separă disponibilitatea furnizorului de cerința de a utiliza 2FA. Administratorii activează mai întâi un furnizor; apoi un utilizator activează o metodă în contul său sau un administrator impune 2FA, astfel încât utilizatorii trebuie să finalizeze configurarea. Furnizorul TOTP încorporat acceptă coduri bazate pe timp generate de o aplicație de autentificare compatibilă. În Nextcloud 35 este instalat, dar dezactivat în mod implicit. Furnizorul de coduri de rezervă este întotdeauna activat și oferă utilizatorilor coduri de recuperare unice.

Înainte de a activa o cerință pentru un grup mare, decideți dacă aceasta se aplică fiecărui cont sau doar unui grup pilot. De asemenea, identificați conturile de serviciu, integrare și administrator de urgență. O regulă generală poate întrerupe accesul utilizatorilor care nu s-au înscris încă sau nu își pot accesa factorul. Ghidul oficial Nextcloud descrie selecția și excluderile grupurilor; apartenența la grupul selectat are prioritate dacă un utilizator se află și într-un grup exclus. Verificați apartenența înainte de a aplica o politică.

Pregătiți un furnizor și o cale de recuperare

1. Conectați-vă ca administrator Nextcloud și deschideți Aplicații . Activați furnizorul TOTP cu doi factori dacă intenționați să utilizați coduri de autentificare. Aspectul exact al meniului poate varia ușor în funcție de versiunile și temele de server acceptate.
2. Păstrați furnizorul de coduri de rezervă disponibil. Rugați un utilizator pilot să deschidă setările personale, să configureze un al doilea factor și să genereze coduri de rezervă. Manualul de utilizare Nextcloud recomandă stocarea codurilor de unică folosință într-un loc sigur și separat de dispozitivul de autentificare.
3. Testați conectarea utilizatorului respectiv într-o sesiune separată de browser: deconectați-vă, conectați-vă din nou și verificați dacă solicitarea pentru al doilea factor acceptă un cod curent. Dacă utilizatorii dvs. se bazează pe clienți desktop sau mobili, verificați și fluxul lor de conectare. Nextcloud notează că este posibil ca clienții care nu pot gestiona 2FA să aibă nevoie de parole specifice dispozitivului.

Nu dezactivați sau dezinstalați un furnizor pe care utilizatorii l-au înscris deja fără a planifica migrarea. Manualul administratorului avertizează că Nextcloud păstrează asocierile furnizorilor; eliminarea aplicației poate face ca utilizatorii să vadă un avertisment privind factorul indisponibil la conectare. Dacă un furnizor este eliminat definitiv, consultați procedura de curățare documentată și înțelegeți că aceasta este ireversibilă.

Aplicați 2FA în interfața de administrator

1. Deschideți setările de administrare → Securitate .
2. Găsiți controalele de aplicare a autentificării cu doi factori. Alegeți dacă doriți să aplicați 2FA la nivel de sistem, selectați grupurile care trebuie să o utilizeze și adăugați excluderi doar acolo unde politica dvs. le impune.
3. Salvați sau aplicați setarea dacă interfața prezintă un control de salvare, apoi testați un cont obișnuit în domeniul de aplicare impus și un cont în afara domeniului de aplicare.

Dacă nu sunt selectate grupuri, Nextcloud impune 2FA pentru toți, cu excepția membrilor grupurilor excluse. Dacă selectați grupuri, se aplică 2FA pentru membrii acelor grupuri. Când cineva aparține atât unui grup selectat, cât și unui grup exclus, grupul selectat câștigă, deci cerința se aplică în continuare. Aceste reguli fac importantă verificarea apartenenței la grupuri imbricate sau sincronizate înainte de a activa aplicarea.

Folosește occ atunci când ai nevoie de o politică repetabilă

occeste instrumentul de administrare din linia de comandă al Nextcloud. Executați comenzi din directorul de instalare Nextcloud ca utilizator al serverului web; utilizatorul și calea pot diferi în funcție de metoda de instalare. Exemplele de mai jos utilizează contul documentat în stil Debian sau Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Înlocuiți ID-urile de grup și ID-ul de utilizator cu valori care există pe serverul dvs. Politica exemplu impune 2FA pentru membrii [numele contului] staffși [ adminsnumele contului]; nu este o recomandare universală să excludeți conturile de serviciu. Excludeți un cont numai după ce decideți cum se autentifică și ce controale compensatorii îl protejează. Documentele Nextcloud --offdezactivează aplicarea, dar utilizați acest lucru ca o revenire planificată, mai degrabă decât ca un substitut pentru testare:

sudo -E -u www-data php occ twofactorauth:enforce --off

Consultați referința oficială a comenzilor pentru utilizatori și grupuri Nextcloud 35 pentru sintaxa curentă. Instalările containerizate, snap și alte instalări pot necesita un prefix de comandă sau un context de execuție diferit; urmați instrucțiunile pentru implementare, în loc să copiați exemplul literal.

Verificați lansarea și evitați blocajele

Verificați starea de aplicare pentru utilizatorii reprezentativi cu occ twofactorauth:state <uid>. Apoi, testați o autentificare normală în browser pentru un utilizator aplicat și confirmați dacă Nextcloud necesită un factor configurat. Verificați un utilizator exclus numai dacă excepția este intenționată. Păstrați codurile de recuperare protejate și asigurați-vă că administratorii cunosc ruta de recuperare documentată înainte de a extinde politica.

Dacă un utilizator își pierde factorul de securitate, Nextcloud oferă o comandă administrativă specifică furnizorului pentru a dezactiva 2FA pentru utilizatorul respectiv, atunci când furnizorul o acceptă: sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Aceasta este o acțiune de recuperare, nu o modalitate de a slăbi aplicarea pentru toată lumea. Manualul oficial descrie, de asemenea, o aplicație separată de asistență pentru administrarea cu doi factori, care poate emite un cod de conectare unic în situațiile acceptate. Confirmați metoda corespunzătoare pentru versiunea instalată și furnizorul înainte de a vă baza pe ea.

Pentru detalii complete, consultați ghidul administratorului Nextcloud 35 privind autentificarea cu doi factori și ghidul utilizatorului Nextcloud 35 privind codurile de înscriere și de rezervă . Disponibilitatea furnizorilor și etichetele exacte ale interfeței pot depinde de versiunea Nextcloud și de aplicațiile activate, așadar confirmați-le pe instanța dvs. înainte de a aplica 2FA pentru toți utilizatorii.