กำหนดให้ผู้ใช้ Nextcloud ต้องใช้การยืนยันตัวตนแบบสองขั้นตอน

ในการบังคับใช้การตรวจสอบสิทธิ์แบบสองขั้นตอน (2FA) ใน Nextcloud ขั้นแรกให้เปิดใช้งานผู้ให้บริการ 2FA อย่างน้อยหนึ่งราย จากนั้นเปิดใช้งานการบังคับใช้ภายใต้การตั้งค่าการดูแลระบบ → ความปลอดภัยหรือใช้occ twofactorauth:enforceคำสั่ง ผู้ให้บริการคือวิธีการที่ให้หลักฐานยืนยันตัวตนขั้นที่สอง เช่น รหัสใช้ครั้งเดียวจากแอปตรวจสอบสิทธิ์ การบังคับใช้จะทำให้ 2FA เป็นข้อบังคับสำหรับขอบเขตที่คุณเลือก การติดตั้งผู้ให้บริการเพียงอย่างเดียวไม่ได้ทำให้เป็นข้อบังคับ ขั้นตอนเหล่านี้เป็นไปตามคู่มือการดูแลระบบ Nextcloud 35 ฉบับปัจจุบัน

ทราบถึงการเปลี่ยนแปลงด้านการบังคับใช้กฎหมาย

Nextcloud แยกความพร้อมใช้งานของผู้ให้บริการออกจากข้อกำหนดในการใช้ 2FA ผู้ดูแลระบบต้องเปิดใช้งานผู้ให้บริการก่อน จากนั้นผู้ใช้จึงเปิดใช้งานวิธีการในบัญชีของตน หรือผู้ดูแลระบบบังคับใช้ 2FA เพื่อให้ผู้ใช้ต้องทำการตั้งค่าให้เสร็จสมบูรณ์ ผู้ให้บริการ TOTP ในตัวรองรับรหัสตามเวลาที่สร้างโดยแอปตรวจสอบสิทธิ์ที่เข้ากันได้ ใน Nextcloud 35 นั้นติดตั้งไว้แล้วแต่ถูกปิดใช้งานโดยค่าเริ่มต้น ผู้ให้บริการรหัสสำรองจะเปิดใช้งานอยู่เสมอและให้รหัสกู้คืนแบบใช้ครั้งเดียวแก่ผู้ใช้

ก่อนที่จะเปิดใช้งานข้อกำหนดสำหรับกลุ่มขนาดใหญ่ ให้ตัดสินใจว่าข้อกำหนดนั้นใช้กับทุกบัญชีหรือเฉพาะกลุ่มนำร่องเท่านั้น นอกจากนี้ ให้ระบุบัญชีผู้ดูแลระบบบริการ การผสานรวม และกรณีฉุกเฉินด้วย กฎที่กว้างเกินไปอาจขัดขวางการเข้าถึงสำหรับผู้ใช้ที่ยังไม่ได้ลงทะเบียนหรือไม่สามารถเข้าถึงปัจจัยของตนได้ คู่มืออย่างเป็นทางการของ Nextcloud อธิบายถึงการเลือกกลุ่มและการยกเว้น การเป็นสมาชิกในกลุ่มที่เลือกจะมีผลเหนือกว่าหากผู้ใช้เป็นสมาชิกในกลุ่มที่ถูกยกเว้นด้วย ตรวจสอบการเป็นสมาชิกก่อนที่จะนำนโยบายไปใช้

เตรียมความพร้อมผู้ให้บริการและเส้นทางการฟื้นฟู

1. ลงชื่อเข้าใช้ในฐานะผู้ดูแลระบบ Nextcloud แล้วเปิดแอปเปิดใช้งานผู้ให้บริการการตรวจสอบสิทธิ์แบบสองขั้นตอน TOTPหากคุณวางแผนที่จะใช้รหัสยืนยันตัวตน รูปแบบเมนูอาจแตกต่างกันเล็กน้อยในเวอร์ชันเซิร์ฟเวอร์และธีมที่รองรับ
2. ควรจัดเตรียมผู้ให้บริการรหัสสำรองไว้ให้พร้อมใช้งาน ขอให้ผู้ใช้ทดลองใช้งานเปิดการตั้งค่าส่วนบุคคล กำหนดค่าปัจจัยที่สอง และสร้างรหัสสำรอง คู่มือผู้ใช้ของ Nextcloud แนะนำให้จัดเก็บรหัสแบบใช้ครั้งเดียวไว้ในที่ปลอดภัยและแยกต่างหากจากอุปกรณ์ยืนยันตัวตน
3. ทดสอบการเข้าสู่ระบบของผู้ใช้รายนั้นในเซสชันเบราว์เซอร์อื่น: ออกจากระบบ เข้าสู่ระบบอีกครั้ง และตรวจสอบว่าข้อความแจ้งให้ยืนยันตัวตนสองขั้นตอนยอมรับรหัสปัจจุบันหรือไม่ หากผู้ใช้ของคุณใช้ไคลเอนต์บนเดสก์ท็อปหรือมือถือ ให้ตรวจสอบขั้นตอนการเข้าสู่ระบบของพวกเขาด้วย Nextcloud ระบุว่าไคลเอนต์ที่ไม่รองรับการยืนยันตัวตนสองขั้นตอนอาจต้องใช้รหัสผ่านเฉพาะอุปกรณ์

อย่าปิดใช้งานหรือถอนการติดตั้งผู้ให้บริการที่ผู้ใช้ได้ลงทะเบียนไว้แล้วโดยไม่วางแผนการย้ายข้อมูล คู่มือผู้ดูแลระบบเตือนว่า Nextcloud จะเก็บรักษาการเชื่อมโยงกับผู้ให้บริการ การลบแอปอาจทำให้ผู้ใช้เห็นคำเตือนเรื่องความไม่พร้อมใช้งานเมื่อเข้าสู่ระบบ หากผู้ให้บริการถูกลบออกอย่างถาวร โปรดศึกษาขั้นตอนการล้างข้อมูลที่ระบุไว้ และโปรดเข้าใจว่าการเปลี่ยนแปลงนั้นไม่สามารถย้อนกลับได้

บังคับใช้การยืนยันตัวตนแบบสองขั้นตอน (2FA) ในส่วนติดต่อผู้ดูแลระบบ

1. เปิดการตั้งค่าการดูแลระบบ → ความปลอดภัย
2. ค้นหาส่วนควบคุมการบังคับใช้การตรวจสอบสิทธิ์แบบสองปัจจัย เลือกว่าจะบังคับใช้ 2FA ทั่วทั้งระบบหรือไม่ เลือกกลุ่มที่ต้องใช้ และเพิ่มข้อยกเว้นเฉพาะในกรณีที่นโยบายของคุณกำหนดไว้เท่านั้น
3. บันทึกหรือใช้งานการตั้งค่าหากอินเทอร์เฟซมีปุ่มบันทึก จากนั้นทดสอบบัญชีปกติภายในขอบเขตที่บังคับใช้และบัญชีที่อยู่นอกขอบเขตดังกล่าว

หากไม่มีการเลือกกลุ่มใดๆ Nextcloud จะบังคับใช้ 2FA สำหรับทุกคน ยกเว้นสมาชิกของกลุ่มที่ถูกยกเว้น หากคุณเลือกกลุ่ม ระบบจะบังคับใช้ 2FA สำหรับสมาชิกของกลุ่มเหล่านั้น เมื่อบุคคลใดบุคคลหนึ่งเป็นสมาชิกทั้งในกลุ่มที่เลือกและกลุ่มที่ถูกยกเว้น กลุ่มที่เลือกจะเป็นกลุ่มที่ชนะ ดังนั้นข้อกำหนดจึงยังคงมีผลบังคับใช้ กฎเหล่านี้ทำให้การตรวจสอบการเป็นสมาชิกกลุ่มแบบซ้อนกันหรือแบบซิงโครไนซ์ก่อนที่จะเปิดใช้งานการบังคับใช้มีความสำคัญ

ใช้ occ เมื่อคุณต้องการนโยบายที่ทำซ้ำได้

occเป็นเครื่องมือบริหารจัดการแบบบรรทัดคำสั่งของ Nextcloud เรียกใช้คำสั่งจากไดเร็กทอรีการติดตั้ง Nextcloud ในฐานะผู้ใช้เว็บเซิร์ฟเวอร์ ผู้ใช้และเส้นทางอาจแตกต่างกันไปตามวิธีการติดตั้ง ตัวอย่างด้านล่างใช้บัญชีผู้ใช้แบบ Debian หรือ Ubuntu ที่มีการบันทึกwww-dataไว้

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

แทนที่ Group ID และ User ID ด้วยค่าที่มีอยู่บนเซิร์ฟเวอร์ของคุณ นโยบายตัวอย่างนี้บังคับใช้ 2FA สำหรับสมาชิกของstaffและadmins; ไม่ใช่คำแนะนำทั่วไปที่จะยกเว้นบัญชีบริการ ยกเว้นบัญชีหลังจากตัดสินใจแล้วว่าบัญชีนั้นจะตรวจสอบสิทธิ์อย่างไร และมีมาตรการควบคุมใดที่จะปกป้องบัญชีนั้น Nextcloud --offระบุวิธีการปิดใช้งานการบังคับใช้ แต่ควรใช้เป็นแผนการย้อนกลับมากกว่าที่จะใช้แทนการทดสอบ:

sudo -E -u www-data php occ twofactorauth:enforce --off

โปรดดูเอกสารอ้างอิงคำสั่งผู้ใช้และกลุ่ม Nextcloud 35 อย่างเป็นทางการ สำหรับไวยากรณ์ปัจจุบัน การติดตั้งแบบคอนเทนเนอร์, snap และการติดตั้งอื่นๆ อาจต้องใช้คำนำหน้าคำสั่งหรือบริบทการดำเนินการที่แตกต่างกัน โปรดปฏิบัติตามคำแนะนำสำหรับการใช้งานของคุณแทนที่จะคัดลอกตัวอย่างโดยตรง

ตรวจสอบการเปิดใช้งานและหลีกเลี่ยงการล็อกเอาต์

ตรวจสอบสถานะการบังคับใช้สำหรับผู้ใช้ตัวแทนด้วยocc twofactorauth:state <uid>จากนั้นทดสอบการเข้าสู่ระบบเบราว์เซอร์ตามปกติสำหรับผู้ใช้ที่ถูกบังคับใช้ และยืนยันว่า Nextcloud ต้องการปัจจัยที่กำหนดค่าไว้ ตรวจสอบผู้ใช้ที่ถูกยกเว้นเฉพาะในกรณีที่การยกเว้นนั้นเป็นไปโดยเจตนา เก็บรักษาโค้ดการกู้คืนให้ปลอดภัย และตรวจสอบให้แน่ใจว่าผู้ดูแลระบบทราบเส้นทางการกู้คืนที่บันทึกไว้ก่อนที่จะขยายขอบเขตของนโยบาย

หากผู้ใช้สูญเสียปัจจัยยืนยันตัวตนสองขั้นตอน Nextcloud จะมีคำสั่งการดูแลระบบเฉพาะผู้ให้บริการเพื่อปิดใช้งาน 2FA สำหรับผู้ใช้นั้น เมื่อผู้ให้บริการรองรับsudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>คำสั่งดังกล่าว นี่เป็นการดำเนินการเพื่อกู้คืน ไม่ใช่วิธีที่จะลดการบังคับใช้สำหรับทุกคน คู่มืออย่างเป็นทางการยังอธิบายถึงแอปสนับสนุนการดูแลระบบสองขั้นตอนแยกต่างหาก ซึ่งสามารถออกรหัสเข้าสู่ระบบแบบใช้ครั้งเดียวได้ในสถานการณ์ที่รองรับ โปรดตรวจสอบวิธีการที่เหมาะสมสำหรับเวอร์ชันที่ติดตั้งและผู้ให้บริการของคุณก่อนที่จะใช้งาน

สำหรับรายละเอียดเพิ่มเติม โปรดดูคู่มือผู้ดูแลระบบ Nextcloud 35 เกี่ยวกับการตรวจสอบสิทธิ์แบบสองปัจจัยและคู่มือผู้ใช้ Nextcloud 35 เกี่ยวกับรหัสการลงทะเบียนและรหัสสำรองข้อมูลความพร้อมใช้งานของผู้ให้บริการและป้ายกำกับอินเทอร์เฟซที่แน่นอนอาจขึ้นอยู่กับเวอร์ชัน Nextcloud และแอปที่เปิดใช้งาน ดังนั้นโปรดยืนยันข้อมูลเหล่านี้ในอินสแตนซ์ของคุณก่อนที่จะบังคับใช้ 2FA สำหรับผู้ใช้ทั้งหมด