Проверка подлинности и безопасность, включая SSO

По умолчанию все входят по имени пользователя и паролю. Вместо имени пользователя подходит адрес электронной почты. Если отправка писем настроена, под формой появляется ссылка «Do you need a password reset?». Отправка писем входит в Professional.

После входа браузер получает пропуск, действующий заданное время. Как долго, решает карточка «JWT token timer». Допустимы значения от 1 до 24 часов, рекомендуется 12. После этого человеку нужно войти снова.

Карточка «Password policy» относится к каждому паролю, который задаётся в системе. Она действует при создании учётной записи, при смене собственного пароля и при сбросе пароля администратором.

Вы задаёте наименьшую длину, какие виды знаков должны встречаться, через сколько дней пароль истекает и сколько прежних паролей остаются заблокированными. Для дней и для списка блокировки 0 означает «выключено».

Правила о прописных и строчных буквах не отсекают ни один язык. Во многих системах письма такого различия вообще нет, и знак из такой системы сам по себе удовлетворяет обоим правилам.

У учётных записей, которые входят только через SSO или каталог, локального пароля нет, поэтому истечение к ним не относится. Их правила живут у поставщика. Если существующая учётная запись была связана с SSO и у неё всё ещё есть собственный пароль, истечение и парольная политика продолжают действовать для этого пароля.

Карточка «2FA Settings» определяет, кто должен пользоваться двухфакторным входом. В разделе «Two-factor requirement» вы выбираете один из четырёх уровней: «Off», «Administrators only», «Administrators and agents» или «Everyone». «Everyone» включает и клиентов. Новая установка начинается с «Administrators only». Установка, которая существовала раньше, после обновления сохраняет прежнюю настройку.

Тот, кто войдёт следующим без второго фактора, его настраивает. Система показывает QR-код для приложения-аутентификатора и тот же ключ для ввода вручную. После первого кода фактор включён. Кнопкой «Set up later» настройку можно отложить, и вход продолжается без неё. Так можно не больше 7 дней, считая с первого откладывания. Строка под кнопкой показывает оставшиеся дни. После этого настройка обязательна.

Сразу после этого появляются десять кодов восстановления. Каждый из них один раз заменяет код из приложения. Показываются они ровно один раз. Сохраните их кнопкой «Copy» или «Download». «Download» работает всегда. «Copy» обычно тоже.

Если кто-то потерял и устройство, и коды, помогает администратор. В списке пользователей кнопка с перечёркнутым щитом сбрасывает двухфакторный вход этого человека. При следующем входе он настраивает его заново.

Коды зависят от часов сервера. Если они неверны, ни один код не принимается. Кнопка «Check now» на той же карточке сверяет время сервера с публичным источником времени.

Если кто-то входит через внешнюю службу входа, кода система не спрашивает. Второй фактор уже проверил поставщик. С входом через каталог иначе: там правило выше действует по-прежнему.

Каждый пользователь может включить двухфакторный вход для своей учётной записи. Это касается любой роли, даже если карточка «2FA Settings» его не требует. Откройте меню пользователя внизу слева на боковой панели и выберите «Profile picture». На той же странице есть область «Two-factor authentication».

Область показывает, включён ли двухфакторный вход. Пока он выключен, там есть кнопка «Turn on». Сначала она спрашивает ваш пароль. Затем появляется QR-код для приложения-аутентификатора и тот же ключ для ввода вручную. После первого кода из приложения фактор включён.

Сразу после этого появляются десять кодов восстановления. Сохраните их кнопкой «Copy» или «Download». «I have saved my codes» закрывает список. Он показывается только этот единственный раз.

Пока двухфакторный вход включён, область показывает, сколько кодов восстановления осталось. «New recovery codes» создаёт десять новых. Старые коды после этого перестают работать. «Turn off» снова выключает двухфакторный вход. Обе кнопки требуют текущий код из приложения. Код восстановления там не принимается.

Если карточка «2FA Settings» требует двухфакторный вход для вашей роли, кнопки «Turn off» нет. Об этом говорит строка в области.

Неверный пароль или неверный код считается неудачным входом. Защита от подбора паролей действует, значит, и здесь. Включение и выключение записываются в журнал безопасности. Если администратор выключает свой собственный двухфакторный вход, журнал поднимает тревогу.

Учётные записи, которые входят только через внешнюю службу входа, видят вместо кнопок одно предложение. Второй фактор у них обеспечивает их поставщик. Учётные записи из каталога на первом шаге вводят свой пароль из каталога.

Защита работает без всяких настроек. Включать нечего. Примечание о ней стоит в карточке «2FA Settings».

Она работает в две ступени. После пяти неудачных попыток для одной учётной записи адрес, с которого они пришли, приостанавливается. Приостановка заканчивается не позднее чем через 15 минут после первой из этих попыток. С любого другого адреса учётная запись сразу остаётся пригодной.

Это важная часть. Иначе тот, кто знает имя для входа, запер бы коллегу пятью неверными паролями. Пароль для этого ему бы вообще не понадобился.

Вторая ступень — это сама учётная запись. Она блокируется на 15 минут после 20 неудачных попыток. Поскольку один адрес может дать самое большее пять из них, для этого нужно несколько адресов.

Удачный вход сбрасывает оба счётчика. После перезапуска сервера приостановка адреса пропадает, а блокировка учётной записи остаётся. Те же счётчики действуют для входа через каталог. Недоступный каталог не считается неудачной попыткой. Если учётной записи с этим именем в системе заявок ещё нет, действует только приостановка адреса.

В списке пользователей такая заблокированная учётная запись несёт значок «temporarily locked». Из списка она не уходит. Через 15 минут значок пропадает сам.

Ждать не обязательно. В той же строке есть кнопка с открытым замком. Она снимает блокировку сразу и обнуляет оба счётчика.

Это не то же, что «Archive». Та кнопка выключает учётную запись насовсем, и только она занимает или освобождает место сотрудника.

Журнал безопасности записывает два вида событий. Область «Sign-in» содержит неудачные входы, заблокированные учётные записи, попытки входа во время блокировки, отклонённые двухфакторные коды и смены пароля. Это относится ко входу по паролю, через каталог и через SSO.

Область «Administration» показывает, кто что изменил. Сюда относятся учётные записи, роли, разрешения, настройки безопасности и архивы. Там же записывается каждый экспорт журнала.

Успешные входы записываются только в двух случаях. Первый случай — администратор. Второй случай — вход после неудачных попыток для той же учётной записи. Обычный вход агента или клиента в журнал не попадает. Журнал не является табелем присутствия.

Если кто-то входит с именем, которого не существует, в записи стоит «unknown account». Система не сохраняет введённое имя. Иногда это пароль, попавший не в то поле.

События входа сохраняют IP-адрес и браузер. Административные действия сохраняют, кто их выполнил, но не IP-адрес. Пароли, коды и содержимое заявок или писем никогда не попадают в журнал.

Страница показывает сначала самые новые записи, по 50 на страницу. Карточка «Filters» сужает список. «Area» выбирает входы или администрирование, «Event» — один вид события. «Person» ищет в имени того, кто действовал, и того, кого это касается. «From» и «To» ограничивают дни. «Failures only» скрывает всё, что прошло успешно.

Фильтры действуют только после щелчка по «Apply». «Reset» снова их убирает.

«Export CSV» и «Export PDF» скачивают ровно то, что показывают фильтры. Каждый файл содержит не более 10 000 записей. Если фильтрам соответствует больше записей, об этом сообщает примечание у кнопок экспорта. PDF составлен на твоём языке и вверху называет фильтры и период. Дата и время следуют формату, заданному в «Settings → General Settings».

Файл CSV всегда остаётся на английском, а время указано в UTC. Так программа может читать его независимо от языка. Каждый экспорт сам попадает в журнал как «Security log exported».

Шесть событий вызывают оповещение. Это учётная запись, заблокированная после неудачных попыток, роль, изменённая на «Admin», учётная запись, сразу созданная с ролью «Admin», и сброшенный двухфакторный вход администратора. К ним добавляются архивные заявки, удалённые из текущих данных, и вход администратора после неудачных попыток.

После оповещения каждый с этим разрешением видит жёлтый баннер вверху каждой страницы. Он называет число оповещений с последнего посещения журнала. Ссылка «Open security log» ведёт туда. При открытии журнала баннер исчезает. До первого посещения он считает оповещения за последние семь дней.

Кроме того, каждая активная учётная запись с этим разрешением и адресом электронной почты получает письмо с оповещением. Система собирает оповещения каждые 15 минут и отправляет одно письмо на человека, а не одно на событие. Письмо называет событие, затронутого человека и время. IP-адреса в нём нет. Письмо с оповещением входит в Professional.

Ночной прогон удаляет старые записи. Сроки находятся в «Settings → Security», в карточке «Data protection», в блоке «Security log retention». События входа по умолчанию хранятся 90 дней, допустимо от 7 до 365 дней. Административные действия по умолчанию хранятся 12 месяцев, допустимо от 1 до 120 месяцев.

У каждого срока свой переключатель: «Delete old sign-in events» и «Delete old administrator actions». Если переключатель выключен, эти записи остаются. Карточка «Сроки хранения» объясняет ночной прогон.

При запросе на доступ к данным человек получает каждую запись, в которой он действовал или которая его касается. IP-адрес и браузер прилагаются только к записям, которые он вызвал сам, например к собственному входу. Если человека анонимизируют, система удаляет его события входа. Его административные действия остаются. Его имя там заменяется заполнителем.

Замечание для тебя как оператора: успешные входы попадают в журнал только для администраторов и после неудачных попыток. Тем не менее журнал показывает, кто что и когда сделал. В компании с представительным органом работников это поэтому вопрос совместного решения.

В самом верху стоит главный переключатель «Enable single sign-on». Пока он выключен, остаётся вход по имени пользователя и паролю. Всё, что вы настраиваете ниже, сохраняется и начинает действовать, только когда вы его включите.

Карточка «Active Directory / LDAP» подключает локальный каталог. Вы указываете сервер, базу поиска, фильтр, который находит человека, и поля для адреса электронной почты и имён.

Учётная запись для поиска необязательна. Без неё система спрашивает анонимно. Пароль человека используется только для привязки к каталогу и никогда не сохраняется.

Каталог не приносит собственного второго фактора. Если страница безопасности требует двухфакторный вход, у этих людей его тоже спрашивают.

Карточка «Identity providers» содержит внешние службы входа. Каждая получает свою плитку и свою кнопку на странице входа. «Add provider» создаёт новую.

В поле «Provider type» вы выбираете вид. «Generic OIDC Provider» подходит таким службам, как Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 или Ping Identity. «SAML 2.0 Provider» подходит тем же, когда их подключают по SAML.

Рядом с ними шесть региональных служб: LINE, Kakao, Naver, WeChat, WeCom и DingTalk. Их адреса заполнены заранее и стоят в поле серым текстом.

Название в поле «Display name» потом появляется на кнопке. Переключатель рядом относится только к этому одному поставщику.

С адресом возврата работайте в таком порядке. Сначала введите только название и нажмите «Save provider». Только тогда система знает номер поставщика и показывает готовый адрес в поле «Redirect URI». Он строится из публичного адреса этой установки, того, что сохранён в разделе «Settings → Security». Именно этот адрес система использует, когда кто-то входит.

Этот адрес вы копируете и регистрируете у поставщика. Там он должен совпадать знак в знак. Взамен поставщик даёт вам идентификатор и секрет, и вы вводите их здесь через «Edit».

Поле «Allowed e-mail domains» ограничивает, кто может войти через этого поставщика. Оставленное пустым, оно разрешает любой домен.

Если поставщику ещё чего-то не хватает, его плитка несёт красный значок «Incomplete». Тогда на странице входа он не появляется. Текст рядом называет, какие поля нужны его виду.

Полностью настроенные поставщики всё равно не появляются, пока главный переключатель выключен. Плитка говорит об этом жёлтой строкой.

Если ваша лицензия откатывается до Basic, вход через SSO и каталог продолжает работать. На этой странице тогда можно только выключать поставщиков и каталог. Журнал попыток входа остаётся доступным для чтения.

Переключатель «Automatically create accounts on first sign-in» стоит в той же карточке, что и главный. По умолчанию он включён.

Когда кто-то впервые входит через поставщика, система сначала ищет учётную запись, которая уже принадлежит этому поставщику. Если такой нет, создаётся новая.

Новая учётная запись получает роль «Customer» и никакой команды. Клиенту для создания заявки членство не нужно, поэтому он сразу может работать.

Клиентов в обеих редакциях неограниченно, поэтому созданная так учётная запись не занимает места сотрудника. Тот, кто должен стать оператором, получает роль потом в управлении пользователями.

Если учётная запись с тем же адресом электронной почты уже есть, обе связываются. Это происходит, только когда поставщик сообщает адрес как подтверждённый. Если он этого не делает, во входе отказывают.

Если вы его выключите, войдут только те, у кого учётная запись уже есть. Всех остальных развернут.

Карточка «Recent sign-in attempts» в самом низу показывает последние 100 событий входа через SSO и каталог. Они берутся из журнала безопасности. Неудачные попытки в ней есть всегда. Успешный вход в ней есть только для администраторов и после неудачных попыток для той же учётной записи. Поэтому не каждый вход попадает в список.

Каждая строка называет время, поставщика, результат и адрес источника. При неудачной попытке рядом стоит причина. Столбец «User» показывает имя учётной записи. Если учётной записи нет, он показывает адрес, который сообщил поставщик, иначе «unknown account». Система не сохраняет введённое имя.

Вход по имени пользователя и паролю в этой таблице не появляется. Это не SSO. Он есть в журнале безопасности.

По умолчанию записи удаляются через 90 дней. Предложение под заголовком карточки называет заданный срок. Эту настройку объясняет карточка «Сроки хранения».

После установки ваша команда работает с системой в любом веб-браузере. Установщик спрашивает, как должен быть устроен доступ к системе. В установщике для Windows вы выбираете это на странице «Доступность». В Linux install.sh задаёт тот же вопрос и нумерует варианты от 1 до 5. Позже вы меняете это через «Изменить способ доступа к SMITEY». Ваши данные остаются на месте.

Вариант «Только в локальной сети, по IP-адресу (HTTP) - самый простой вариант» стоит по умолчанию. Ваша команда открывает систему по http:// с IP-адресом сервера и портом, например http://192.168.1.20:8088. Порт 8088, если вы не выберете другой. Порт 80 тоже подходит. Тогда в адресе порт не нужен. Этому варианту не нужны ни имя, ни сертификат.

Вариант «В локальной сети под собственным именем (HTTP, HTTPS возможен позже) - у вас есть внутренний DNS» работает как первый, но под именем вроде ticket.company.local. Имя вы создаёте сами в своём внутреннем DNS. Оно указывает на IP-адрес сервера. Тогда ваша команда открывает систему по имени и по-прежнему по IP-адресу. Затем установщик показывает адрес с этим именем.

В обоих вариантах с HTTP пароли и заявки идут по вашей сети открытым текстом. Администраторы тогда видят уведомление вверху страницы.

Остальные три варианта используют HTTPS: «Через публичный домен по HTTPS (автоматически, через Let's Encrypt)», «В локальной сети с HTTPS и собственным сертификатом» и «В локальной сети с HTTPS, сертификат создаёт SMITEY». Им нужны на сервере порты 80 и 443. Их описывает следующая карточка.

Для первого теста достаточно первого варианта. Если в вашей сети есть внутренний DNS, выберите второй. Если система должна быть доступна из интернета, выберите публичный домен. Если у вашей компании есть свой центр сертификации, выберите собственный сертификат в локальной сети. В остальных случаях пусть сертификат создаст SMITEY.

Без HTTPS пароли и заявки идут по вашей сети открытым текстом. Новая установка начинается с обычного HTTP, чтобы сразу работать в любом веб-браузере. Пока администратор открывает систему по обычному HTTP, вверху страницы появляется уведомление: «This connection is not encrypted.» Если систему открыть на самом сервере как «localhost», уведомление не появляется. Операторы и клиенты его никогда не видят.

«How to switch on HTTPS» ведёт к этой карточке. «Hide for 30 days» скрывает уведомление для вас. Настройка принадлежит вашей учётной записи и поэтому действует и в другом браузере. Через 30 дней уведомление возвращается, пока соединение всё ещё не зашифровано.

Установщик SMITEY настраивает HTTPS тремя способами. В установщике для Windows вы выбираете его на странице «Доступность», а в Linux install.sh задаёт тот же вопрос. В уже работающей системе откройте «Изменить способ доступа к SMITEY» на рабочем столе Windows или в меню Пуск. В Linux то же самое делает команда ниже. Ваши данные остаются на месте.

Вариант «В локальной сети с HTTPS и собственным сертификатом» использует ваш собственный сертификат, например от центра сертификации вашей компании. Установщик спрашивает имя системы и файл сертификата с его ключом. Подойдёт и файл PFX с его паролем. Прежде чем что-либо менять, он проверяет сертификат. Ключ должен подходить, сертификат должен быть действительным, а имя должно стоять в сертификате.

Варианту «В локальной сети с HTTPS, сертификат создаёт SMITEY» собственный сертификат не нужен. SMITEY создаёт его сам и сам же обновляет. Корневой сертификат установщик сохраняет как SMITEY-root-ca.crt в папке установки. Установите этот файл на каждый компьютер как доверенный корневой сертификат, например через групповую политику. До тех пор браузеры показывают предупреждение.

Вариант «Через публичный домен по HTTPS (автоматически, через Let's Encrypt)» получает свой сертификат от Let’s Encrypt. Ему нужен публичный домен, который указывает на сервер. Поэтому сервер должен быть доступен из интернета.

Для обоих вариантов в локальной сети имя может быть именем вроде ticket.company.local, одним словом вроде helpdesk или адресом IPv4. Всем трём путям нужны на сервере порты 80 и 443. Если их занимает другая программа, установщик прерывается и ничего не меняет. Затем система доступна по https:// и имени, без порта.

Ваш собственный сертификат когда-нибудь истекает. За 30 дней до этого администраторы видят вверху страницы уведомление с датой. За 7 дней оно красное. В Professional все администраторы с адресом электронной почты дополнительно получают письмо за 30 и за 7 дней. Чтобы обновить сертификат, снова откройте «Изменить способ доступа к SMITEY», выберите вариант с собственным сертификатом и укажите новые файлы.

Файл HTTPS-GUIDE.txt, который поставляется с установкой, описывает каждый шаг. Сюда входят распространение корневого сертификата и шаги вручную.