การยืนยันตัวตนและความปลอดภัย รวมถึง SSO

ตั้งแต่ต้น ทุกคนเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่าน ที่อยู่อีเมลใช้แทนชื่อผู้ใช้ได้ หากตั้งค่าการส่งอีเมลไว้ ลิงก์ “Do you need a password reset?” จะปรากฏใต้แบบฟอร์ม การส่งอีเมลเป็นส่วนหนึ่งของ Professional

หลังเข้าสู่ระบบ เบราว์เซอร์จะได้รับบัตรผ่านที่ใช้ได้ตามเวลาที่กำหนด การ์ด “JWT token timer” กำหนดว่านานเท่าใด ค่าที่อนุญาตคือ 1 ถึง 24 ชั่วโมง โดยแนะนำที่ 12 หลังจากนั้นบุคคลนั้นต้องเข้าสู่ระบบใหม่

การ์ด “Password policy” มีผลกับทุกรหัสผ่านที่ตั้งขึ้นในระบบ มันถูกบังคับใช้ตอนสร้างบัญชี ตอนที่บุคคลเปลี่ยนรหัสผ่านของตนเอง และตอนที่ผู้ดูแลระบบรีเซ็ตรหัสผ่านให้

คุณกำหนดความยาวขั้นต่ำ ชนิดอักขระที่ต้องมี จำนวนวันก่อนรหัสผ่านหมดอายุ และจำนวนรหัสผ่านเก่าที่ยังถูกห้ามใช้ สำหรับจำนวนวันและรายการที่ห้าม ค่า 0 หมายถึง “ปิด”

กฎเรื่องตัวพิมพ์ใหญ่และตัวพิมพ์เล็กไม่ได้กันภาษาใดออกไป ระบบการเขียนหลายระบบไม่มีความแตกต่างนี้เลย และอักขระจากระบบเหล่านั้นก็ทำให้ผ่านทั้งสองกฎได้ด้วยตัวเอง

บัญชีที่เข้าสู่ระบบผ่าน SSO หรือไดเรกทอรีเท่านั้นไม่มีรหัสผ่านในระบบนี้ การหมดอายุจึงไม่มีผลกับพวกเขา กฎของพวกเขาอยู่ที่ผู้ให้บริการ หากบัญชีที่มีอยู่แล้วถูกเชื่อมกับ SSO และยังมีรหัสผ่านของตัวเองอยู่ การหมดอายุและนโยบายรหัสผ่านจะยังคงใช้กับรหัสผ่านนั้นต่อไป

การ์ด “2FA Settings” กำหนดว่าใครต้องใช้การเข้าสู่ระบบสองขั้นตอน ใต้ “Two-factor requirement” คุณเลือกหนึ่งในสี่ระดับ ได้แก่ “Off”, “Administrators only”, “Administrators and agents” หรือ “Everyone” โดย “Everyone” รวมลูกค้าด้วย การติดตั้งใหม่เริ่มต้นด้วย “Administrators only” การติดตั้งที่มีอยู่ก่อนแล้วจะคงค่าเดิมไว้หลังการอัปเดต

ใครที่เข้าสู่ระบบครั้งถัดไปโดยยังไม่มีปัจจัยที่สอง จะตั้งค่ามัน ระบบแสดงคิวอาร์โค้ดสำหรับแอปยืนยันตัวตน และแสดงกุญแจชุดเดียวกันให้พิมพ์เองด้วย หลังกรอกรหัสครั้งแรก ปัจจัยนั้นก็ใช้งานได้ ปุ่ม “Set up later” ใช้เลื่อนการตั้งค่าออกไปได้ และการเข้าสู่ระบบจะดำเนินต่อโดยไม่ต้องตั้งค่า ทำแบบนี้ได้นานสุด 7 วัน นับจากการเลื่อนครั้งแรก บรรทัดใต้ปุ่มแสดงจำนวนวันที่เหลือ หลังจากนั้นการตั้งค่าเป็นข้อบังคับ

ทันทีหลังจากนั้น รหัสกู้คืนสิบชุดจะปรากฏขึ้น แต่ละชุดใช้แทนรหัสจากแอปได้หนึ่งครั้ง ระบบแสดงให้เห็นเพียงครั้งเดียวเท่านั้น คุณบันทึกรหัสเหล่านี้ได้ด้วย “Copy” หรือ “Download” “Download” ใช้ได้เสมอ ส่วน “Copy” มักใช้ได้เช่นกัน

หากมีคนทำอุปกรณ์และรหัสหายไปทั้งหมด ผู้ดูแลระบบช่วยได้ ในรายการผู้ใช้ ปุ่มรูปโล่ขีดฆ่าจะรีเซ็ตการเข้าสู่ระบบสองขั้นตอนของบุคคลนั้น แล้วเขาตั้งค่าใหม่ตอนเข้าสู่ระบบครั้งถัดไป

รหัสเหล่านี้ขึ้นอยู่กับนาฬิกาของเซิร์ฟเวอร์ หากนาฬิกาผิด จะไม่มีรหัสใดถูกยอมรับ ปุ่ม “Check now” บนการ์ดเดียวกันเทียบเวลาเซิร์ฟเวอร์กับแหล่งเวลาสาธารณะ

หากมีคนเข้าสู่ระบบผ่านบริการเข้าสู่ระบบจากภายนอก ระบบจะไม่ถามรหัส เพราะผู้ให้บริการได้ตรวจปัจจัยที่สองไปแล้ว การเข้าสู่ระบบผ่านไดเรกทอรีต่างออกไป กรณีนั้นกฎด้านบนยังมีผลอยู่

ผู้ใช้ทุกคนเปิดการเข้าสู่ระบบสองขั้นตอนให้บัญชีของตัวเองได้ ใช้ได้กับทุกบทบาท แม้การ์ด “2FA Settings” จะไม่บังคับก็ตาม เปิดเมนูผู้ใช้ที่มุมล่างซ้ายของแถบด้านข้าง แล้วเลือก “Profile picture” หน้าเดียวกันนี้มีส่วน “Two-factor authentication” อยู่ด้วย

ส่วนนี้แสดงว่าเปิดการเข้าสู่ระบบสองขั้นตอนอยู่หรือไม่ ระหว่างที่ยังปิดอยู่ จะมีปุ่ม “Turn on” ปุ่มนี้ถามรหัสผ่านของคุณก่อน จากนั้นคิวอาร์โค้ดสำหรับแอปยืนยันตัวตนจะปรากฏ พร้อมกุญแจชุดเดียวกันให้พิมพ์เอง หลังรหัสแรกจากแอป ปัจจัยนั้นก็ใช้งานได้

ทันทีหลังจากนั้น รหัสกู้คืนสิบชุดจะปรากฏขึ้น บันทึกไว้ด้วย “Copy” หรือ “Download” ปุ่ม “I have saved my codes” ปิดรายการ ระบบแสดงรายการนี้เพียงครั้งเดียวเท่านั้น

ระหว่างที่เปิดการเข้าสู่ระบบสองขั้นตอนอยู่ ส่วนนี้แสดงว่ารหัสกู้คืนเหลืออยู่กี่ชุด “New recovery codes” สร้างรหัสใหม่สิบชุด แล้วรหัสเก่าจะใช้ไม่ได้อีก “Turn off” ปิดการเข้าสู่ระบบสองขั้นตอนอีกครั้ง ทั้งสองปุ่มต้องใช้รหัสปัจจุบันจากแอป ที่นั่นไม่รับรหัสกู้คืน

หากการ์ด “2FA Settings” บังคับการเข้าสู่ระบบสองขั้นตอนสำหรับบทบาทของคุณ จะไม่มีปุ่ม “Turn off” มีบรรทัดหนึ่งในส่วนนี้บอกไว้

รหัสผ่านผิดหรือรหัสผิดนับเป็นการเข้าสู่ระบบที่ล้มเหลว การป้องกันการเดารหัสผ่านจึงมีผลที่นี่ด้วย การเปิดและการปิดจะถูกบันทึกไว้ในบันทึกความปลอดภัย หากผู้ดูแลระบบปิดการเข้าสู่ระบบสองขั้นตอนของตัวเอง บันทึกจะแจ้งเตือนภัย

บัญชีที่เข้าสู่ระบบผ่านบริการเข้าสู่ระบบภายนอกเท่านั้น จะเห็นข้อความหนึ่งประโยคแทนปุ่ม ผู้ให้บริการของบัญชีเหล่านั้นดูแลปัจจัยที่สองเอง บัญชีจากไดเรกทอรีจะกรอกรหัสผ่านของไดเรกทอรีในขั้นแรก

การป้องกันนี้ทำงานโดยไม่ต้องตั้งค่าใด ไม่มีอะไรให้เปิด ข้อความอธิบายอยู่ในการ์ด “2FA Settings”

มันทำงานสองขั้น หลังจากพยายามล้มเหลวห้าครั้งสำหรับบัญชีเดียวกัน ที่อยู่ต้นทางนั้นจะถูกพักไว้ การพักจะสิ้นสุดอย่างช้าที่สุด 15 นาทีหลังจากความพยายามครั้งแรกในชุดนั้น ส่วนจากที่อยู่อื่นทุกที่ บัญชีนั้นยังใช้งานได้ทันที

นั่นคือส่วนสำคัญ มิฉะนั้นใครที่รู้ชื่อสำหรับเข้าสู่ระบบก็ล็อกเพื่อนร่วมงานออกได้ด้วยรหัสผ่านผิดห้าครั้ง โดยไม่ต้องรู้รหัสผ่านเลย

ขั้นที่สองคือตัวบัญชีเอง มันจะถูกล็อก 15 นาทีหลังพยายามล้มเหลว 20 ครั้ง เนื่องจากที่อยู่เดียวมีส่วนได้มากที่สุดห้าครั้ง เรื่องนี้จึงต้องใช้ที่อยู่หลายแห่ง

การเข้าสู่ระบบสำเร็จหนึ่งครั้งรีเซ็ตตัวนับทั้งสอง หลังเซิร์ฟเวอร์เริ่มใหม่ การพักที่อยู่จะหายไป ส่วนการล็อกบัญชียังอยู่ ตัวนับชุดเดียวกันนี้ใช้กับการเข้าสู่ระบบผ่านไดเรกทอรีด้วย ไดเรกทอรีที่ติดต่อไม่ได้ไม่นับเป็นความพยายามที่ล้มเหลว หากยังไม่มีบัญชีของชื่อนั้นในระบบทิกเก็ต จะใช้เพียงการพักที่อยู่เท่านั้น

ในรายการผู้ใช้ บัญชีที่ถูกล็อกด้วยวิธีนี้จะมีป้าย “temporarily locked” มันยังอยู่ในรายการ และหลังผ่านไป 15 นาที ป้ายจะหายไปเอง

คุณไม่ต้องรอ ในแถวเดียวกันมีปุ่มรูปแม่กุญแจเปิด มันปลดล็อกทันทีและล้างตัวนับทั้งสอง

เรื่องนี้ไม่เหมือนกับ “Archive” ปุ่มนั้นปิดบัญชีอย่างถาวร และมีเพียงปุ่มนั้นที่กินหรือคืนที่นั่งพนักงาน

บันทึกความปลอดภัยเก็บเหตุการณ์สองประเภท ส่วน “Sign-in” มีการเข้าสู่ระบบที่ล้มเหลว บัญชีที่ถูกล็อก ความพยายามเข้าสู่ระบบระหว่างถูกล็อก รหัสสองขั้นตอนที่ถูกปฏิเสธ และการเปลี่ยนรหัสผ่าน ซึ่งใช้กับการเข้าสู่ระบบด้วยรหัสผ่าน ผ่านไดเรกทอรี และผ่าน SSO

ส่วน “Administration” แสดงว่าใครเปลี่ยนอะไร ครอบคลุมบัญชี บทบาท สิทธิ์ การตั้งค่าความปลอดภัย และไฟล์เก็บถาวร การส่งออกบันทึกทุกครั้งก็ถูกบันทึกไว้ที่นั่นด้วย

การเข้าสู่ระบบที่สำเร็จจะถูกบันทึกในสองกรณีเท่านั้น กรณีแรกคือผู้ดูแลระบบ กรณีที่สองคือการเข้าสู่ระบบหลังจากมีความพยายามที่ล้มเหลวกับบัญชีเดียวกัน การเข้าสู่ระบบตามปกติของเจ้าหน้าที่หรือลูกค้าไม่อยู่ในบันทึก บันทึกนี้ไม่ใช่รายชื่อการเข้างาน

ถ้ามีคนเข้าสู่ระบบด้วยชื่อที่ไม่มีอยู่ รายการจะแสดง “unknown account” ระบบไม่เก็บชื่อที่พิมพ์ไว้ บางครั้งชื่อนั้นคือรหัสผ่านที่พิมพ์ผิดช่อง

เหตุการณ์การเข้าสู่ระบบเก็บที่อยู่ IP และเบราว์เซอร์ การดำเนินการด้านผู้ดูแลระบบเก็บว่าใครเป็นผู้ทำ แต่ไม่เก็บที่อยู่ IP รหัสผ่าน รหัสยืนยัน และเนื้อหาของทิกเก็ตหรืออีเมลไม่อยู่ในบันทึกเลย

หน้านี้แสดงรายการล่าสุดก่อน หน้าละ 50 รายการ การ์ด “Filters” ใช้จำกัดรายการ “Area” เลือกการเข้าสู่ระบบหรือการดูแลระบบ “Event” เลือกเหตุการณ์ประเภทเดียว “Person” ค้นหาในชื่อของผู้กระทำและผู้ได้รับผลกระทบ “From” และ “To” จำกัดวัน “Failures only” ซ่อนทุกอย่างที่สำเร็จ

ตัวกรองจะมีผลหลังจากคลิก “Apply” เท่านั้น “Reset” จะล้างตัวกรองออก

“Export CSV” และ “Export PDF” ดาวน์โหลดตรงตามที่ตัวกรองแสดง แต่ละไฟล์มีได้สูงสุด 10,000 รายการ ถ้ามีรายการที่ตรงกับตัวกรองมากกว่านั้น จะมีหมายเหตุบอกไว้ที่ปุ่มส่งออก PDF ใช้ภาษาของคุณและระบุตัวกรองกับช่วงเวลาไว้ด้านบน วันที่และเวลาใช้รูปแบบที่ตั้งไว้ใน “Settings → General Settings”

ไฟล์ CSV เป็นภาษาอังกฤษเสมอ และเวลาเป็น UTC โปรแกรมจึงอ่านได้โดยไม่ขึ้นกับภาษา การส่งออกแต่ละครั้งก็อยู่ในบันทึกเช่นกันในชื่อ “Security log exported”

มีหกเหตุการณ์ที่ทำให้เกิดการแจ้งเตือน ได้แก่ บัญชีที่ถูกล็อกหลังจากความพยายามที่ล้มเหลว บทบาทที่ถูกเปลี่ยนเป็น “Admin” บัญชีที่ถูกสร้างพร้อมบทบาท “Admin” ตั้งแต่แรก และการรีเซ็ตการเข้าสู่ระบบสองขั้นตอนของผู้ดูแลระบบ นอกจากนี้ยังมีทิกเก็ตที่เก็บถาวรซึ่งถูกนำออกจากข้อมูลที่ใช้งานอยู่ และการเข้าสู่ระบบของผู้ดูแลระบบหลังจากความพยายามที่ล้มเหลว

หลังการแจ้งเตือน ทุกคนที่มีสิทธิ์จะเห็นแถบสีเหลืองที่ด้านบนของทุกหน้า แถบนี้บอกจำนวนการแจ้งเตือนนับจากการเข้าดูบันทึกครั้งล่าสุด ลิงก์ “Open security log” จะพาไปที่นั่น เมื่อเปิดบันทึก แถบจะหายไป ก่อนการเข้าดูครั้งแรก แถบจะนับการแจ้งเตือนในเจ็ดวันล่าสุด

นอกจากนี้ ทุกบัญชีที่ใช้งานอยู่ซึ่งมีสิทธิ์และที่อยู่อีเมลจะได้รับอีเมลแจ้งเตือน ระบบรวบรวมการแจ้งเตือนทุก 15 นาทีและส่งอีเมลหนึ่งฉบับต่อคน ไม่ใช่หนึ่งฉบับต่อเหตุการณ์ อีเมลระบุเหตุการณ์ บุคคลที่ได้รับผลกระทบ และเวลา โดยไม่มีที่อยู่ IP อีเมลแจ้งเตือนเป็นส่วนหนึ่งของ Professional

การทำงานรอบกลางคืนจะลบรายการเก่า ระยะเวลาอยู่ใน “Settings → Security” ที่การ์ด “Data protection” ในบล็อก “Security log retention” เหตุการณ์การเข้าสู่ระบบเก็บไว้ 90 วันโดยค่าเริ่มต้น ตั้งได้ 7 ถึง 365 วัน การดำเนินการด้านผู้ดูแลระบบเก็บไว้ 12 เดือนโดยค่าเริ่มต้น ตั้งได้ 1 ถึง 120 เดือน

แต่ละระยะเวลามีสวิตช์ของตัวเอง ได้แก่ “Delete old sign-in events” และ “Delete old administrator actions” ถ้าปิดสวิตช์ไว้ รายการเหล่านั้นจะยังคงอยู่ การ์ด “ระยะเวลาการเก็บรักษา” อธิบายการทำงานรอบกลางคืน

เมื่อมีคำขอเข้าถึงข้อมูล บุคคลนั้นจะได้รับทุกรายการที่ตนเป็นผู้กระทำหรือได้รับผลกระทบ ที่อยู่ IP และเบราว์เซอร์จะแนบมาเฉพาะในรายการที่บุคคลนั้นเป็นผู้ก่อให้เกิดเอง เช่น การเข้าสู่ระบบของตนเอง หากบุคคลนั้นถูกทำให้เป็นนิรนาม ระบบจะลบเหตุการณ์การเข้าสู่ระบบของเขา การดำเนินการด้านผู้ดูแลระบบของเขายังคงอยู่ ชื่อของเขาในนั้นจะถูกแทนที่ด้วยชื่อแทน

ข้อสังเกตสำหรับคุณในฐานะผู้ดูแลการให้บริการ การเข้าสู่ระบบที่สำเร็จจะอยู่ในบันทึกเฉพาะของผู้ดูแลระบบและหลังจากความพยายามที่ล้มเหลว ถึงอย่างนั้นบันทึกก็ยังแสดงว่าใครทำอะไรเมื่อไร ในบริษัทที่มีคณะกรรมการลูกจ้าง บันทึกนี้จึงเป็นเรื่องที่ต้องตัดสินใจร่วมกัน

บนสุดคือสวิตช์หลัก “Enable single sign-on” ตราบใดที่มันปิดอยู่ ระบบก็ยังใช้ชื่อผู้ใช้และรหัสผ่าน ทุกอย่างที่คุณตั้งค่าไว้ใต้ลงมาถูกบันทึกไว้ และจะมีผลก็ต่อเมื่อคุณเปิดสวิตช์นี้

การ์ด “Active Directory / LDAP” เชื่อมต่อไดเรกทอรีในองค์กร คุณกรอกเซิร์ฟเวอร์ ฐานการค้นหา ตัวกรองที่ใช้หาบุคคล และช่องสำหรับที่อยู่อีเมลกับชื่อ

บัญชีที่ใช้ค้นหาเป็นทางเลือก หากไม่มี ระบบจะถามแบบไม่ระบุตัวตน ส่วนรหัสผ่านของบุคคลถูกใช้เพียงเพื่อผูกกับไดเรกทอรีเท่านั้น และไม่เคยถูกจัดเก็บ

ไดเรกทอรีไม่ได้นำปัจจัยที่สองของตนเองมาด้วย หากหน้าความปลอดภัยบังคับการเข้าสู่ระบบสองขั้นตอน คนเหล่านี้ก็ถูกถามด้วยเช่นกัน

การ์ด “Identity providers” เก็บบริการเข้าสู่ระบบจากภายนอกไว้ แต่ละรายมีแผ่นของตัวเองและปุ่มของตัวเองบนหน้าเข้าสู่ระบบ “Add provider” สร้างรายใหม่

ใต้ “Provider type” คุณเลือกชนิด “Generic OIDC Provider” เหมาะกับบริการอย่าง Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 หรือ Ping Identity ส่วน “SAML 2.0 Provider” เหมาะกับผู้ให้บริการรายเดียวกันเมื่อจะเชื่อมต่อผ่าน SAML

ข้าง ๆ กันมีบริการประจำภูมิภาคหกราย ได้แก่ LINE, Kakao, Naver, WeChat, WeCom และ DingTalk ที่อยู่ของแต่ละรายถูกเติมไว้ล่วงหน้าและปรากฏเป็นข้อความสีเทาในช่อง

ชื่อที่อยู่ใต้ “Display name” จะปรากฏบนปุ่มในภายหลัง สวิตช์ข้าง ๆ มีผลกับผู้ให้บริการรายนี้รายเดียวเท่านั้น

สำหรับที่อยู่เรียกกลับ ให้ทำตามลำดับนี้ เริ่มจากกรอกเพียงชื่อแล้วกด “Save provider” หลังจากนั้นระบบจึงรู้หมายเลขของผู้ให้บริการ และแสดงที่อยู่ที่สมบูรณ์ไว้ใต้ “Redirect URI” ที่อยู่นี้สร้างจากที่อยู่สาธารณะของการติดตั้งนี้ ซึ่งก็คือที่อยู่ที่บันทึกไว้ใต้ “Settings → Security” นั่นคือที่อยู่เดียวกันกับที่ระบบใช้เมื่อมีคนเข้าสู่ระบบ

คุณคัดลอกที่อยู่นั้นไปลงทะเบียนกับผู้ให้บริการ มันต้องตรงกันทุกตัวอักษรที่นั่น ผู้ให้บริการจะให้รหัสประจำตัวและรหัสลับกลับมา แล้วคุณกรอกทั้งสองอย่างที่นี่ผ่าน “Edit”

ช่อง “Allowed e-mail domains” จำกัดว่าใครเข้ามาผ่านผู้ให้บริการรายนี้ได้บ้าง หากเว้นว่างไว้ ทุกโดเมนจะได้รับอนุญาต

หากผู้ให้บริการรายใดยังขาดอะไรอยู่ แผ่นของรายนั้นจะมีป้ายสีแดง “Incomplete” และจะไม่ปรากฏบนหน้าเข้าสู่ระบบ ข้อความข้าง ๆ ระบุว่าชนิดของรายนั้นต้องใช้ช่องใดบ้าง

ผู้ให้บริการที่ตั้งค่าครบแล้วก็ยังไม่ปรากฏ ตราบใดที่สวิตช์หลักยังปิดอยู่ แผ่นนั้นจะระบุไว้ในบรรทัดสีเหลือง

หากสิทธิ์การใช้งานของคุณกลับไปเป็น Basic การเข้าสู่ระบบผ่าน SSO และไดเรกทอรียังใช้งานได้ต่อไป ในหน้านี้คุณจะทำได้เพียงปิดผู้ให้บริการและไดเรกทอรี บันทึกความพยายามเข้าสู่ระบบยังคงอ่านได้

สวิตช์ “Automatically create accounts on first sign-in” อยู่ในการ์ดเดียวกับสวิตช์หลัก มันเปิดไว้เป็นค่าเริ่มต้น

เมื่อมีคนเข้าสู่ระบบผ่านผู้ให้บริการรายหนึ่งเป็นครั้งแรก ระบบจะหาบัญชีที่เป็นของผู้ให้บริการรายนั้นอยู่แล้วก่อน หากไม่พบ ก็จะสร้างบัญชีใหม่ขึ้นมา

บัญชีใหม่ได้บทบาท “Customer” และไม่มีทีม ลูกค้าไม่ต้องเป็นสมาชิกทีมก็สร้างทิกเก็ตได้ จึงเริ่มทำงานได้ทันที

ลูกค้าไม่จำกัดจำนวนทั้งสองรุ่น บัญชีที่สร้างขึ้นแบบนี้จึงไม่กินที่นั่งพนักงาน ใครที่ตั้งใจให้เป็นเจ้าหน้าที่ จะได้รับบทบาทนั้นภายหลังในการจัดการผู้ใช้

หากมีบัญชีที่ใช้ที่อยู่อีเมลเดียวกันอยู่แล้ว ทั้งสองจะถูกเชื่อมเข้าด้วยกัน เรื่องนี้เกิดขึ้นก็ต่อเมื่อผู้ให้บริการรายงานว่าที่อยู่นั้นได้รับการยืนยันแล้วเท่านั้น หากไม่ ระบบจะปฏิเสธการเข้าสู่ระบบ

หากคุณปิดสวิตช์นี้ จะมีเพียงคนที่มีบัญชีอยู่แล้วเท่านั้นที่เข้าได้ คนอื่นทั้งหมดจะถูกปฏิเสธ

การ์ด “Recent sign-in attempts” ที่ด้านล่างสุดแสดงเหตุการณ์การเข้าสู่ระบบผ่าน SSO และไดเรกทอรี 100 รายการล่าสุด เหตุการณ์เหล่านี้มาจากบันทึกความปลอดภัย ความพยายามที่ล้มเหลวจะอยู่ในนั้นเสมอ การเข้าสู่ระบบที่สำเร็จจะอยู่ในนั้นเฉพาะของผู้ดูแลระบบและหลังจากมีความพยายามที่ล้มเหลวกับบัญชีเดียวกัน ดังนั้นไม่ใช่ทุกการเข้าสู่ระบบจะอยู่ในรายการ

แต่ละแถวระบุเวลา ผู้ให้บริการ ผลลัพธ์ และที่อยู่ต้นทาง หากความพยายามล้มเหลว เหตุผลจะอยู่ข้าง ๆ ส่วนคอลัมน์ “User” แสดงชื่อของบัญชี ถ้าไม่มีบัญชีจะแสดงที่อยู่ที่ผู้ให้บริการรายงานมา มิฉะนั้นจะแสดง “unknown account” ระบบไม่เก็บชื่อที่กรอกไว้

การเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านไม่ปรากฏในตารางนี้ เพราะมันไม่ใช่ SSO คุณจะพบได้ในบันทึกความปลอดภัย

ตามค่าเริ่มต้น รายการจะถูกลบเมื่อครบ 90 วัน ประโยคใต้ชื่อการ์ดบอกระยะเวลาที่ตั้งไว้ การ์ด “ระยะเวลาการเก็บรักษา” อธิบายการตั้งค่านี้

หลังการติดตั้ง ทีมของคุณใช้ระบบได้ในทุกเว็บเบราว์เซอร์ ตัวติดตั้งจะถามว่าจะให้เข้าถึงระบบอย่างไร ในตัวติดตั้งสำหรับ Windows คุณเลือกที่หน้า “วิธีการเข้าถึง” บน Linux นั้น install.sh จะถามคำถามเดียวกันและใส่หมายเลขตัวเลือกตั้งแต่ 1 ถึง 5 ภายหลังคุณเปลี่ยนได้ด้วย “เปลี่ยนวิธีเข้าถึง SMITEY” ข้อมูลของคุณยังอยู่ที่เดิม

ตัวเลือก “เฉพาะในเครือข่ายภายใน ผ่านหมายเลข IP (HTTP) - ตัวเลือกที่ง่ายที่สุด” เป็นค่าเริ่มต้น ทีมของคุณเปิดระบบที่ http:// ตามด้วยที่อยู่ IP ของเซิร์ฟเวอร์และพอร์ต เช่น http://192.168.1.20:8088 พอร์ตคือ 8088 เว้นแต่คุณจะเลือกพอร์ตอื่น พอร์ต 80 ก็ใช้ได้ ในกรณีนั้นที่อยู่ไม่ต้องมีพอร์ต ตัวเลือกนี้ไม่ต้องใช้ชื่อและไม่ต้องใช้ใบรับรอง

ตัวเลือก “ในเครือข่ายภายใน โดยใช้ชื่อของตัวเอง (HTTP, เปิด HTTPS ภายหลังได้) - สำหรับผู้ที่มี DNS ภายใน” ทำงานเหมือนตัวเลือกแรก แต่ใช้ชื่ออย่าง ticket.company.local คุณสร้างชื่อนี้เองใน DNS ภายในของคุณ ชื่อนี้ชี้ไปยังที่อยู่ IP ของเซิร์ฟเวอร์ จากนั้นทีมของคุณเข้าถึงระบบได้ด้วยชื่อ และยังเข้าถึงด้วยที่อยู่ IP ได้เหมือนเดิม ตัวติดตั้งจะแสดงที่อยู่ด้วยชื่อนี้

สำหรับทั้งสองตัวเลือก HTTP รหัสผ่านและทิกเก็ตจะวิ่งผ่านเครือข่ายของคุณเป็นข้อความธรรมดา ผู้ดูแลระบบจึงเห็นประกาศที่ด้านบนของหน้า

อีกสามตัวเลือกใช้ HTTPS ได้แก่ “ผ่านโดเมนสาธารณะด้วย HTTPS (อัตโนมัติ โดยใช้ Let's Encrypt)” “ในเครือข่ายภายในด้วย HTTPS และใบรับรองของคุณเอง” และ “ในเครือข่ายภายในด้วย HTTPS ใบรับรองที่ SMITEY สร้างขึ้น” ตัวเลือกเหล่านี้ต้องใช้พอร์ต 80 และ 443 บนเซิร์ฟเวอร์ การ์ดถัดไปอธิบายตัวเลือกเหล่านี้

สำหรับการทดสอบครั้งแรก ตัวเลือกแรกก็เพียงพอ หากเครือข่ายของคุณมี DNS ภายใน ให้เลือกตัวเลือกที่สอง หากระบบต้องเข้าถึงได้จากอินเทอร์เน็ต ให้เลือกโดเมนสาธารณะ หากบริษัทของคุณมีหน่วยงานออกใบรับรองของตัวเอง ให้เลือกใบรับรองของคุณเองในเครือข่ายภายใน มิฉะนั้นให้ SMITEY สร้างใบรับรองให้

หากไม่มี HTTPS รหัสผ่านและทิกเก็ตจะวิ่งผ่านเครือข่ายของคุณเป็นข้อความธรรมดา การติดตั้งใหม่เริ่มต้นด้วย HTTP ธรรมดา เพื่อให้ใช้งานได้ทันทีบนเว็บเบราว์เซอร์ตัวใดก็ได้ ตราบใดที่ผู้ดูแลระบบเปิดระบบผ่าน HTTP ธรรมดา จะมีประกาศปรากฏที่ด้านบนของหน้าว่า “This connection is not encrypted.” หากเปิดระบบบนเซิร์ฟเวอร์เองด้วย “localhost” ประกาศนี้จะไม่ปรากฏ เจ้าหน้าที่และลูกค้าไม่เคยเห็นประกาศนี้

“How to switch on HTTPS” พามาที่การ์ดนี้ “Hide for 30 days” ซ่อนประกาศสำหรับคุณ การตั้งค่านี้เป็นของบัญชีคุณ จึงมีผลในเบราว์เซอร์อื่นด้วย เมื่อครบ 30 วัน ประกาศจะกลับมา ตราบใดที่การเชื่อมต่อยังไม่ได้เข้ารหัส

ตัวติดตั้ง SMITEY ตั้งค่า HTTPS ได้สามแบบ ในตัวติดตั้งสำหรับ Windows คุณเลือกที่หน้า “วิธีการเข้าถึง” ส่วนบน Linux นั้น install.sh จะถามคำถามเดียวกัน สำหรับระบบที่ทำงานอยู่แล้ว ให้เปิด “เปลี่ยนวิธีเข้าถึง SMITEY” บนเดสก์ท็อป Windows หรือในเมนู Start บน Linux คำสั่งด้านล่างทำแบบเดียวกัน ข้อมูลของคุณยังอยู่ที่เดิม

ตัวเลือก “ในเครือข่ายภายในด้วย HTTPS และใบรับรองของคุณเอง” ใช้ใบรับรองของคุณเอง เช่น จาก CA ของบริษัทคุณ ตัวติดตั้งจะถามชื่อของระบบและไฟล์ใบรับรองพร้อมกุญแจของมัน ไฟล์ PFX พร้อมรหัสผ่านก็ใช้ได้ ก่อนเปลี่ยนแปลงสิ่งใด ตัวติดตั้งจะตรวจใบรับรอง กุญแจต้องตรงกัน ใบรับรองต้องยังใช้ได้ และชื่อต้องอยู่ในใบรับรอง

ตัวเลือก “ในเครือข่ายภายในด้วย HTTPS ใบรับรองที่ SMITEY สร้างขึ้น” ไม่ต้องมีใบรับรองของคุณเอง SMITEY สร้างขึ้นเองและต่ออายุเองด้วย ตัวติดตั้งบันทึกใบรับรองรากเป็น SMITEY-root-ca.crt ในโฟลเดอร์ติดตั้ง ติดตั้งไฟล์นี้บนคอมพิวเตอร์ทุกเครื่องเป็นใบรับรองรากที่เชื่อถือได้ เช่น ผ่านนโยบายกลุ่ม ก่อนหน้านั้น เบราว์เซอร์จะแสดงคำเตือน

ตัวเลือก “ผ่านโดเมนสาธารณะด้วย HTTPS (อัตโนมัติ โดยใช้ Let's Encrypt)” ขอใบรับรองจาก Let’s Encrypt ต้องมีโดเมนสาธารณะที่ชี้มายังเซิร์ฟเวอร์ ดังนั้นเซิร์ฟเวอร์ต้องเข้าถึงได้จากอินเทอร์เน็ต

สำหรับทั้งสองตัวเลือกในเครือข่ายภายใน ชื่ออาจเป็นชื่ออย่าง ticket.company.local คำเดียวอย่าง helpdesk หรือที่อยู่ IPv4 ทั้งสามทางต้องใช้พอร์ต 80 และ 443 บนเซิร์ฟเวอร์ หากโปรแกรมอื่นใช้พอร์ตเหล่านี้อยู่ ตัวติดตั้งจะหยุดและไม่เปลี่ยนแปลงสิ่งใด จากนั้นระบบจะเข้าถึงได้ที่ https:// ตามด้วยชื่อ โดยไม่มีพอร์ต

ใบรับรองของคุณเองจะหมดอายุในวันหนึ่ง ตั้งแต่ 30 วันก่อนหน้า ผู้ดูแลระบบจะเห็นประกาศพร้อมวันที่ที่ด้านบนของหน้า ตั้งแต่ 7 วันก่อนหน้า ประกาศจะเป็นสีแดง ใน Professional ผู้ดูแลระบบทุกคนที่มีที่อยู่อีเมลจะได้รับอีเมลเพิ่มเติมก่อน 30 และ 7 วัน หากต้องการต่ออายุ ให้เปิด “เปลี่ยนวิธีเข้าถึง SMITEY” อีกครั้ง เลือกตัวเลือกที่ใช้ใบรับรองของคุณเอง แล้วระบุไฟล์ใหม่

ไฟล์ HTTPS-GUIDE.txt ที่มาพร้อมการติดตั้งอธิบายทุกขั้นตอน รวมถึงการแจกจ่ายใบรับรองรากและขั้นตอนที่ทำด้วยมือ