Ввести обязательную двухфакторную аутентификацию для пользователей Nextcloud.

Для принудительного использования двухфакторной аутентификации (2FA) в Nextcloud сначала включите хотя бы одного поставщика 2FA, а затем включите принудительное применение в разделе «Администрирование» → «Безопасность» или используйте occ twofactorauth:enforceсоответствующую команду. Поставщик — это метод, предоставляющий второе подтверждение личности, например, одноразовый код от приложения-аутентификатора. Принудительное применение делает 2FA обязательной для выбранной вами области действия; простая установка поставщика этого не делает. Эти шаги соответствуют текущему руководству администратора Nextcloud 35.

Узнайте, какие изменения в правоприменении вступили в силу.

Nextcloud разделяет доступность провайдера и необходимость использования двухфакторной аутентификации (2FA). Администраторы сначала включают провайдера; затем пользователь активирует метод в своей учетной записи, или администратор принудительно включает 2FA, так что пользователи должны завершить настройку. Встроенный TOTP-провайдер поддерживает временные коды, генерируемые совместимым приложением-аутентификатором. В Nextcloud 35 он установлен, но отключен по умолчанию. Провайдер резервных кодов всегда включен и предоставляет пользователям одноразовые коды восстановления.

Прежде чем активировать требование для большой группы, определите, распространяется ли оно на все учетные записи или только на пилотную группу. Также определите учетные записи администраторов служб, интеграций и экстренных служб. Широкое правило может прервать доступ для пользователей, которые еще не зарегистрированы или не могут достичь необходимого уровня авторизации. В официальном руководстве Nextcloud описаны выбор групп и исключения; членство в выбранной группе имеет приоритет, если пользователь также входит в исключенную группу. Перед применением политики проверьте состав участников.

Подготовьте поставщика услуг и план восстановления.

1. Войдите в систему как администратор Nextcloud и откройте раздел «Приложения» . Включите поставщик двухфакторной аутентификации TOTP, если планируете использовать коды аутентификации. Точная структура меню может немного отличаться в зависимости от поддерживаемых версий сервера и тем оформления.
2. Обеспечьте доступ к поставщику резервных кодов. Попросите пилотного пользователя открыть личные настройки, настроить второй фактор аутентификации и сгенерировать резервные коды. В руководстве пользователя Nextcloud рекомендуется хранить одноразовые коды в безопасном месте, отдельно от устройства аутентификации.
3. Проверьте вход пользователя в систему в отдельной сессии браузера: выйдите из системы, войдите снова и убедитесь, что запрос на двухфакторную аутентификацию принимает актуальный код. Если ваши пользователи используют настольные или мобильные клиенты, проверьте также процесс входа в систему для них. Nextcloud отмечает, что клиентам, не поддерживающим двухфакторную аутентификацию, могут потребоваться пароли, специфичные для их устройств.

Не отключайте и не удаляйте поставщика услуг, к которому пользователи уже подключены, без предварительного планирования миграции. В руководстве администратора указано, что Nextcloud сохраняет связи с поставщиками услуг; удаление приложения может привести к появлению предупреждения о недоступности при входе в систему. Если поставщик услуг удален навсегда, ознакомьтесь с описанной процедурой очистки и помните, что это необратимо.

Внедрить двухфакторную аутентификацию в интерфейсе администратора.

1. Откройте настройки администрирования → Безопасность .
2. Найдите элементы управления принудительной двухфакторной аутентификацией. Выберите, следует ли применять двухфакторную аутентификацию ко всей системе, укажите группы, которые должны ее использовать, и добавьте исключения только там, где это требуется вашей политикой.
3. Сохраните или примените настройку, если в интерфейсе есть элемент управления сохранением, затем протестируйте обычную учетную запись в заданной области действия и учетную запись вне этой области.

Если группы не выбраны, Nextcloud применяет двухфакторную аутентификацию для всех, кроме членов исключенных групп. Если вы выберете группы, система применит двухфакторную аутентификацию для членов этих групп. Если пользователь принадлежит как к выбранной, так и к исключенной группе, приоритет имеет выбранная группа, поэтому требование по-прежнему действует. Эти правила делают важным проверку членства во вложенных или синхронизированных группах перед включением принудительной проверки.

Используйте OCC, когда вам необходима повторяемая политика.

occNextcloud — это инструмент администрирования из командной строки. Выполняйте команды из каталога установки Nextcloud от имени пользователя веб-сервера; пользователь и путь могут отличаться в зависимости от способа установки. В приведенных ниже примерах используется учетная запись, описанная в Debian или Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Замените идентификаторы групп и идентификатор пользователя значениями, существующими на вашем сервере. Пример политики обеспечивает двухфакторную аутентификацию для участников групп staffи admins; исключение служебных учетных записей не является универсальной рекомендацией. Исключайте учетную запись только после того, как определите способ ее аутентификации и какие компенсирующие меры ее защищают. В документации Nextcloud --offрекомендуется отключить принудительное применение двухфакторной аутентификации, но используйте это как запланированный откат, а не как замену тестированию:

sudo -E -u www-data php occ twofactorauth:enforce --off

Актуальный синтаксис команд для пользователей и групп Nextcloud 35 см. в официальном справочнике . Для контейнерных, snap-пакетных и других установок может потребоваться другой префикс команды или контекст выполнения; следуйте инструкциям для вашей системы развертывания, а не копируйте пример дословно.

Проверьте развертывание и избегайте блокировок.

Проверьте состояние применения политики для репрезентативных пользователей occ twofactorauth:state <uid>. Затем протестируйте обычный вход в систему через браузер для пользователя, для которого применяется политика, и убедитесь, что Nextcloud требует настроенный фактор авторизации. Проверяйте исключенного пользователя только в том случае, если исключение является преднамеренным. Храните коды восстановления в защищенном виде и убедитесь, что администраторы знают документированный способ восстановления, прежде чем расширять политику.

Если пользователь теряет свою двухфакторную аутентификацию, Nextcloud предоставляет административную команду, специфичную для провайдера, для отключения двухфакторной аутентификации для этого пользователя, если провайдер её поддерживает: sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Это действие по восстановлению, а не способ ослабить контроль за соблюдением двухфакторной аутентификации для всех. В официальном руководстве также описывается отдельное приложение поддержки администратора двухфакторной аутентификации, которое может выдавать одноразовый код входа в систему в поддерживаемых ситуациях. Перед тем как полагаться на этот метод, подтвердите его соответствие установленной версии и провайдеру.

Для получения полной информации обратитесь к руководству администратора Nextcloud 35 по двухфакторной аутентификации и к руководству пользователя Nextcloud 35 по кодам регистрации и резервного копирования . Доступность провайдера и точные названия интерфейсов могут зависеть от вашей версии Nextcloud и включенных приложений, поэтому подтвердите их на вашем экземпляре, прежде чем применять двухфакторную аутентификацию для всех пользователей.