Kuidas seadistada Hailbytes VPN-i autentimist
Sissejuhatus
Nüüd, kui olete HailBytesi VPN-i seadistanud ja konfigureeritud, võite hakata uurima mõningaid turvafunktsioone, mida HailBytes pakub. VPN-i seadistamisjuhiseid ja funktsioone leiate meie blogist. Selles artiklis käsitleme HailBytes VPN-i toetatud autentimismeetodeid ja autentimismeetodi lisamist.
Ülevaade
HailBytes VPN pakub lisaks traditsioonilisele kohalikule autentimisele mitmeid autentimismeetodeid. Turvariskide vähendamiseks soovitame keelata kohalikud autentimised. Selle asemel soovitame kasutada mitmefaktorilist autentimist (MFA), OpenID Connecti või SAML 2.0.
- MFA lisab kohalikule autentimisele täiendava turvakihi. HailBytes VPN sisaldab kohalikke sisseehitatud versioone ja välise MFA tuge paljude populaarsete identiteedipakkujate jaoks, nagu Okta, Azure AD ja Onelogin.
- OpenID Connect on OAuth 2.0 protokollile ehitatud identiteedikiht. See pakub turvalist ja standardset viisi identiteedipakkujalt kasutajateabe autentimiseks ja hankimiseks ilma mitu korda sisse logimata.
- SAML 2.0 on XML-põhine avatud standard autentimis- ja autoriseerimisteabe vahetamiseks osapoolte vahel. See võimaldab kasutajatel kord autentida identiteedipakkujaga, ilma et peaks erinevatele rakendustele juurdepääsuks uuesti autentima.
OpenID Connect with Azure Setup
Selles jaotises käsitleme lühidalt, kuidas integreerida oma identiteedipakkuja OIDC mitmefaktorilise autentimise abil. See juhend on mõeldud Azure Active Directory kasutamiseks. Erinevatel identiteedipakkujatel võib esineda ebatavalisi konfiguratsioone ja muid probleeme.
- Soovitame kasutada ühte täielikult toetatud ja testitud pakkujatest: Azure Active Directory, Okta, Onelogin, Keycloak, Auth0 ja Google Workspace.
- Kui te ei kasuta soovitatud OIDC pakkujat, on vaja järgmisi konfiguratsioone.
a) discovery_document_uri: OpenID Connecti pakkuja konfiguratsiooni URI, mis tagastab JSON-dokumendi, mida kasutatakse sellele OIDC pakkujale järgnevate päringute koostamiseks. Mõned pakkujad nimetavad seda "tuntud URL-iks".
b) client_id: rakenduse kliendi ID.
c) client_secret: rakenduse kliendisaladus.
d) redirect_uri: juhendab OIDC pakkujat, kuhu pärast autentimist ümber suunata. See peaks olema teie Firezone'i EXTERNAL_URL + /auth/oidc/ /callback/, nt https://firezone.example.com/auth/oidc/google/callback/.
e) vastuse_tüüp: määrake koodile.
f) ulatus: OIDC ulatused, mille saate hankida oma OIDC pakkujalt. Firezone nõuab vähemalt avatud ID-d ja e-posti ulatust.
g) silt: Firezone'i portaali sisselogimislehel kuvatav nupusildi tekst.
- Navigeerige Azure'i portaalis lehele Azure Active Directory. Valige menüü Halda all link Rakenduste registreerimised, klõpsake nuppu Uus registreerimine ja registreeruge pärast järgmise sisestamist.
a) Nimi: Firezone
b) Toetatud kontotüübid: (ainult vaikekataloog – üks rentnik)
c) Ümbersuunamise URI: see peaks olema teie Firezone'i EXTERNAL_URL + /auth/oidc/ /callback/, nt https://firezone.example.com/auth/oidc/azure/callback/.
- Pärast registreerimist avage rakenduse üksikasjade vaade ja kopeerige rakenduse (kliendi) ID. See on kliendi_id väärtus.
- OpenID Connecti metaandmete dokumendi toomiseks avage lõpp-punktide menüü. See on discovery_document_uri väärtus.
- Valige menüü Halda alt link Sertifikaadid ja saladused ja looge uus kliendisaladus. Kopeerige kliendi saladus. See on väärtus client_secret.
- Valige menüüst Halda link API load, klõpsake käsul Lisa luba ja valige Microsoft Graph. Lisage vajalikele lubadele e-post, avatud ID, offline_access ja profiil.
- Liikuge administraatoriportaalis lehele /settings/security, klõpsake "Lisa OpenID Connect Provider" ja sisestage ülaltoodud sammude käigus saadud andmed.
- Lubage või keelake suvand Loo kasutajaid automaatselt, et luua selle autentimismehhanismi kaudu sisselogimisel automaatselt privilegeerimata kasutaja.
Palju õnne! Peaksite oma sisselogimislehel nägema nuppu Logi sisse Azure'iga.
Järeldus
HailBytes VPN pakub mitmesuguseid autentimismeetodeid, sealhulgas mitmefaktoriline autentimine, OpenID Connect ja SAML 2.0. Integreerides OpenID Connecti Azure Active Directoryga, nagu artiklis näidatud, pääsevad teie töötajad mugavalt ja turvaliselt juurde teie ressurssidele pilves või AWS-is.
