Aanmeldbeveiliging

Wijzig uw wachtwoord, stel tweestapsverificatie in met herstelcodes, bepaal het wachtwoord- en blokkeringsbeleid en hef een blokkering op.

Kyvernon beveiligt het aanmelden met een wachtwoordbeleid, limieten voor mislukte pogingen en tweestapsverificatie voor beheerders. Iedereen kan het eigen wachtwoord wijzigen en tweestapsverificatie instellen; het beleid wijzigen vereist de bevoegdheid Kyvernon.Identity.ManagePolicy, en een blokkering opheffen vereist Kyvernon.Identity.ManageUsers. Het beleid staat in de gerepliceerde store en geldt op elke controller.

In de console

Uw wachtwoord wijzigen

Open het Gebruikersmenu rechtsboven.

(Groter weergeven)
Grotere weergave sluiten
Selecteer Wachtwoord wijzigen. Het dialoogvenster Uw wachtwoord wijzigen vraagt om het huidige wachtwoord en het nieuwe wachtwoord, twee keer.

(Groter weergeven)
Grotere weergave sluiten
Selecteer Wachtwoord wijzigen.

Als u het wachtwoord wijzigt, eindigen alle sessies van het account, en de console geeft u een nieuwe sessie. Een account dat een beheerder voor vernieuwing heeft gemarkeerd, moet bij de volgende aanmelding op de pagina Kies een nieuw wachtwoord een nieuw wachtwoord kiezen voordat iets anders werkt.

Een wachtwoord heeft 12 tot 256 tekens, zonder regels voor letters, cijfers of symbolen. Kyvernon weigert een wachtwoord dat op de lijst van veelgebruikte wachtwoorden staat, of een gangbaar woord met cijfers, symbolen of lettervervangingen eromheen; dat één teken of één groep herhaalt of een toetsenbord- of alfabetreeks volgt; dat de gebruikersnaam bevat; of dat gelijk is aan het huidige wachtwoord. Een wachtzin van meerdere woorden is makkelijker te onthouden dan een kort wachtwoord met symbolen.

Tweestapsverificatie instellen

Beheerders melden zich aan met een wachtwoord en een code. Totdat een beheerder dit heeft ingesteld, komt de sessie alleen bij de installatie.

Meld u aan met de gebruikersnaam en het wachtwoord. Na de wachtwoordwijziging verschijnt de pagina Tweestapsverificatie instellen.
Scan de QR-code met een authenticator-app op uw telefoon, of typ de sleutel onder de code in de app.
Voer de Code uit de app in en selecteer Tweestapsverificatie inschakelen.
Selecteer op de pagina Bewaar uw herstelcodes Codes kopiëren en bewaar de codes in een wachtwoordbeheerder, of print ze. Selecteer Ik heb deze codes op een veilige plek bewaard en daarna Doorgaan. De codes worden één keer getoond, en elke code werkt één keer.

Bij elke volgende aanmelding vraagt de pagina Tweestapsverificatie na het wachtwoord om de code van zes cijfers.

Als de telefoon kwijt is, voert u een herstelcode in in plaats van de code uit de app. Als de telefoon en de herstelcodes kwijt zijn, selecteert een beheerder Tweestapsverificatie herstellen voor de gebruiker op het scherm Gebruikers, en stelt de gebruiker de verificatie bij de volgende aanmelding opnieuw in; zie Gebruikers en groepen.

De codes zijn tijdgebaseerde eenmalige wachtwoorden met zes cijfers en een stap van 30 seconden, zoals elke authenticator-app ze maakt. Kyvernon accepteert één stap klokverschil, en een code werkt één keer. Standaard moet elke gebruiker die Authorization.ModifyPermissions, Global.Settings of Kyvernon.Identity.ManageUsers op de root heeft, zich met een code verifiëren. Gebruikers die zich via een identiteitsprovider aanmelden, worden door de provider geverifieerd, en serviceaccounts en API-tokens hebben geen tweede stap.

Het wachtwoord- en blokkeringsbeleid bepalen

Open het Gebruikersmenu, selecteer Beheer en selecteer in de lijst links Wachtwoord- en blokkeerbeleid.

(Groter weergeven)
Grotere weergave sluiten
Stel onder Wachtwoordlengte het Kortste wachtwoord en het Langste wachtwoord in. Het kortste wachtwoord is minimaal 12 tekens en het langste maximaal 256, zodat het beleid het minimum kan verhogen maar niet kan verlagen. Selecteer Opslaan.
Stel onder Blokkering Mislukte aanmeldingen die blokkeren en het Venster voor tellen (minuten) in, en het aantal minuten waarna een geblokkeerd account vanzelf wordt vrijgegeven. Selecteer Opslaan.

Standaard blokkeren tien mislukte pogingen, met een wachtwoord of een code, binnen 15 minuten een account gedurende 15 minuten. Het venster en de blokkeringstijd zijn hele minuten, tot zeven dagen. Een adres waarvandaan de gebruiker de afgelopen 90 dagen een aanmelding heeft voltooid, blokkeert het account niet, maar valt nog wel onder de vertragingen hieronder. Het beleid geldt voor lokale accounts; accounts die zich via single sign-on aanmelden, volgen het beleid van de identiteitsprovider.

Een blokkering opheffen

Een geblokkeerd account toont Geblokkeerd in de tabel van het scherm Gebruikers. Selecteer Acties in de rij, kies de actie die de blokkering opheft en bevestig. De gebruiker kan direct opnieuw proberen in plaats van te wachten tot de blokkering afloopt.

Resultaat

Het nieuwe beleid geldt voor de volgende wachtwoordwijziging en de volgende mislukte aanmelding. Kyvernon vertraagt aanvallers ook zonder te onthullen welke accounts bestaan. Na 20 mislukte pogingen vanaf één adres binnen 15 minuten (een IPv6-adres telt als zijn /64-prefix) wachten verdere pogingen vanaf dat adres op een vertraging die bij één seconde begint en tot 15 minuten verdubbelt. Na 3 mislukte pogingen voor één gebruikersnaam vanaf één adres geldt dezelfde vertraging voor dat paar. Het antwoord is error.auth.rate_limited. Elke andere weigering geeft één antwoord, error.auth.invalid_credentials, wat de reden ook is.

Automatisering

Met de CLI

De CLI leest wachtwoorden uit de omgevingsvariabele KYVERNON_PASSWORD of uit standaardinvoer, nooit uit de opdrachtregel. Als het account tweestapsverificatie heeft, geeft u de code mee bij het aanmelden:

Shell

kyvernon login j.smith --code <code> --save
kyvernon auth password
kyvernon auth totp enrol
kyvernon auth totp confirm <code>
kyvernon users set-password-policy --min-length 14
kyvernon users set-lockout-policy --max-failed-attempts 8

auth password leest het huidige en het nieuwe wachtwoord als twee regels. totp enrol drukt het geheim en het adres voor de authenticator-app af, en totp confirm drukt de tien herstelcodes één keer af. kyvernon auth totp recovery-codes <code> maakt nieuwe codes aan, en de oude werken niet meer. kyvernon users unlock j.smith heft een blokkering op. kyvernon users password-policy en kyvernon users lockout-policy tonen de beleidsregels.

Met de API

POST /v1/auth/login start een aanmelding via de browser en POST /v1/auth/mfa voltooit die met pendingToken en code of recoveryCode; de eerste stap is 5 minuten geldig. POST /v1/auth/password wijzigt het wachtwoord, en POST /v1/auth/totp/enrol en POST /v1/auth/totp/confirm stellen de verificatie in. Programmatische clients gebruiken POST /v1/identity/login en POST /v1/identity/mfa/complete. De beleidsregels zijn GET en PUT /v1/identity/password-policy en GET en PUT /v1/identity/lockout-policy, en vereisen Kyvernon.Identity.ManagePolicy.

Sessielooptijden en andere instellingen

Deze instellingen staan in de sectie [identity.policy] van de controllerconfiguratie, en de controller wordt na een wijziging opnieuw gestart.

Instelling	Standaard	Betekenis
`session_idle`	15 minuten	Een sessie eindigt na deze tijd zonder activiteit.
`session_absolute`	12 uur	Maximale levensduur van een interactieve sessie.
`api_session_absolute`	24 uur	Maximale levensduur van een programmatische sessie.
`mfa`	`required_for_admins`	`required_for_admins` of `optional`.
`facade_login`	`role_assigned`	Wie zich met een wachtwoord mag aanmelden op de programmatische eindpunten: `role_assigned`, `service_accounts` of `api_token`.

Het noodaccount (break-glass) voor gebruik wanneer de identiteitsprovider niet beschikbaar is, heeft een eigen subsectie: de sessies duren een uur, het wachtwoord moet na elk gebruik worden gewijzigd, en er is een code nodig tenzij dat voor dit account is uitgeschakeld.

API-tokens voor automatisering die geen code kan beantwoorden.
Single sign-on laat mensen zich aanmelden met een identiteitsprovider.
Probleemoplossing voor identiteit voor geweigerde aanmeldingen.