Kako nastaviti avtentikacijo Hailbytes VPN
Predstavitev
Zdaj, ko ste nastavili in konfigurirali HailBytes VPN, lahko začnete raziskovati nekatere varnostne funkcije, ki jih ponuja HailBytes. V našem blogu lahko preverite navodila za nastavitev in funkcije za VPN. V tem članku bomo obravnavali metode preverjanja pristnosti, ki jih podpira HailBytes VPN, in kako dodati metodo preverjanja pristnosti.
Pregled
HailBytes VPN poleg tradicionalne lokalne avtentikacije ponuja več načinov preverjanja pristnosti. Za zmanjšanje varnostnih tveganj priporočamo, da onemogočite lokalno preverjanje pristnosti. Namesto tega priporočamo večfaktorsko avtentikacijo (MFA), OpenID Connect ali SAML 2.0.
- MFA doda dodatno raven varnosti poleg lokalnega preverjanja pristnosti. HailBytes VPN vključuje lokalne vgrajene različice in podporo za zunanji MFA za številne priljubljene ponudnike identitet, kot so Okta, Azure AD in Onelogin.
- OpenID Connect je plast identitete, zgrajena na protokolu OAuth 2.0. Zagotavlja varen in standardiziran način za preverjanje pristnosti in pridobivanje podatkov o uporabniku od ponudnika identitete, ne da bi se morali večkrat prijaviti.
- SAML 2.0 je odprti standard na podlagi XML za izmenjavo informacij o preverjanju pristnosti in avtorizaciji med strankami. Uporabnikom omogoča enkratno preverjanje pristnosti pri ponudniku identitete, ne da bi morali znova preverjati pristnost za dostop do različnih aplikacij.
Nastavitev OpenID Connect with Azure
V tem razdelku bomo na kratko preučili, kako integrirati vašega ponudnika identitete z večfaktorsko avtentikacijo OIDC. Ta priročnik je namenjen uporabi storitve Azure Active Directory. Različni ponudniki identitet imajo lahko neobičajne konfiguracije in druge težave.
- Priporočamo, da uporabite enega od ponudnikov, ki je v celoti podprt in preizkušen: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 in Google Workspace.
- Če ne uporabljate priporočenega ponudnika OIDC, so potrebne naslednje konfiguracije.
a) discovery_document_uri: Konfiguracijski URI ponudnika OpenID Connect, ki vrne dokument JSON, ki se uporablja za izdelavo nadaljnjih zahtev temu ponudniku OIDC. Nekateri ponudniki to imenujejo "dobro znani URL".
b) client_id: ID odjemalca aplikacije.
c) client_secret: skrivnost odjemalca aplikacije.
d) redirect_uri: ponudniku OIDC naroči, kam naj preusmeri po preverjanju pristnosti. To bi moral biti vaš Firezone EXTERNAL_URL + /auth/oidc/ /callback/, npr. https://firezone.example.com/auth/oidc/google/callback/.
e) response_type: Nastavite na kodo.
f) obseg: obsege OIDC, ki jih dobite pri svojem ponudniku OIDC. Firezone zahteva vsaj openid in obsege e-pošte.
g) oznaka: besedilo oznake gumba, prikazano na strani za prijavo portala Firezone.
- Pomaknite se do strani Azure Active Directory na portalu Azure. V meniju Upravljanje izberite povezavo Registracije aplikacij, kliknite Nova registracija in se registrirajte, ko vnesete naslednje:
a) Ime: Firezone
b) Podprte vrste računov: (samo privzeti imenik – en najemnik)
c) URI preusmeritve: To bi moral biti vaš Firezone EXTERNAL_URL + /auth/oidc/ /povratni klic/, npr. https://firezone.example.com/auth/oidc/azure/povratni klic/.
- Po registraciji odprite pogled podrobnosti aplikacije in kopirajte ID aplikacije (odjemalca). To bo vrednost client_id.
- Odprite meni končnih točk, da pridobite dokument z metapodatki OpenID Connect. To bo vrednost discovery_document_uri.
- V meniju Upravljanje izberite povezavo Potrdila in skrivnosti in ustvarite novo skrivnost odjemalca. Kopirajte skrivnost odjemalca. To bo vrednost client_secret.
- V meniju Upravljanje izberite povezavo dovoljenj API-ja, kliknite Dodaj dovoljenje in izberite Microsoft Graph. Zahtevanim dovoljenjem dodajte e-pošto, openid, offline_access in profil.
- Pomaknite se do strani /settings/security v skrbniškem portalu, kliknite »Add OpenID Connect Provider« in vnesite podrobnosti, ki ste jih pridobili v zgornjih korakih.
- Omogočite ali onemogočite možnost Samodejno ustvarjanje uporabnikov, da samodejno ustvarite neprivilegiranega uporabnika ob prijavi prek tega mehanizma za preverjanje pristnosti.
čestitke! Na strani za prijavo bi morali videti gumb Prijava z Azure.
zaključek
HailBytes VPN ponuja različne metode avtentikacije, vključno z večfaktorsko avtentikacijo, OpenID Connect in SAML 2.0. Z integracijo OpenID Connect z Azure Active Directory, kot je prikazano v članku, lahko vaša delovna sila udobno in varno dostopa do vaših virov v oblaku ali AWS.
