Authentification à deux facteurs (2FA/MFA) pour Slack
La solution d'authentification à deux facteurs (2FA) Slack de miniOrange renforce la sécurité de votre connexion Slack. Une fois la 2FA activée, toute personne tentant de se connecter à votre compte Slack devra fournir deux facteurs d'authentification. L'authentification Slack 2FA commence par la saisie de votre nom d'utilisateur et de votre mot de passe. Après cette première étape réussie, la méthode de 2FA configurée (mot de passe à usage unique par SMS, notification push, YubiKey, TOTP, Google Authenticator, etc.) vous invite à effectuer une seconde vérification. L'utilisateur qui réussit les deux étapes d'authentification obtient alors l'accès à son compte Slack. L'activation de la 2FA empêche toute utilisation non autorisée de votre compte Slack, même si des cybercriminels parviennent à obtenir vos identifiants.
Obtenez une aide gratuite pour l'installation
miniOrange offre une assistance gratuite via un appel de consultation avec nos ingénieurs système pour installer ou configurer la solution Slack MFA dans votre environnement avec un essai gratuit de 30 jours.
Pour cela, il vous suffit de nous envoyer un courriel à idpsupport@xecurify.com pour réserver un créneau et nous vous aiderons très rapidement.
miniOrange propose plus de 15 méthodes et solutions d'authentification à deux facteurs (2FA) pour divers cas d'utilisation. Les organisations peuvent configurer des options d'authentification et de configuration spécifiques, en plus des mesures de sécurité, notamment :
- 2FA basé sur les rôles
- Restrictions de mot de passe
- Restreindre les méthodes de connexion
- Authentification sans mot de passe
- Prise en charge 2FA hors ligne
miniOrange
Application d'authentification
Google
Application d'authentification
Authy 2 facteurs
Application d'authentification
Microsoft
Application d'authentification
Suivez le guide étape par étape ci-dessous pour l’authentification unique Slack (SSO)
1. Configurer Slack dans miniOrange
- Connectez-vous à miniOrange Console d'administration.
- Allez dans Apps et cliquez sur Ajouter une application .
- In Choisissez le type de demande, sélectionnez SAML/WS-FED du Toutes les applications menu déroulant.
- Recherchez Slack dans la liste, si vous ne trouvez pas Slack dans la liste, recherchez Customiser et vous pouvez configurer votre application dans Application SAML personnalisée.
- Obtenez les ID d'entité SP ou émetteur à partir des métadonnées. Vous trouverez la valeur dans la première ligne par rapport à l'entityID.
- Entité SP :
https://slack.com
Assurez-vous que le URL ACS est au format : .
https://[Your-Domian].slack.com/sso/saml
Activer l'assertion de signe comme indiqué dans l'image ci-dessous.
Cliquez à nouveau Suivant, maintenant dans le Cartographie d'attributs configurez les attributs suivants comme indiqué dans l'image ci-dessous.
Ajouter un attribut en nous envoyant un mail et sélectionnez Adresse courriel dans la liste déroulante
Rendez-vous dans la section Politique de connexion et sélectionnez DEFAULT du Nom du groupe menu déroulant.
Entrez maintenant le Slack dans le Nom de la politique champ.
Sélectionner MOT DE PASSE du Type de premier facteur menu déroulant.
Cliquez sur Enregistrer pour configurer Slack.
Cliquez sur Métadonnées pour obtenir les détails des métadonnées, qui seront nécessaires plus tard. Cliquer sur Afficher le lien SSO pour voir le lien SSO initié par l’IDP pour Slack.
Ici, vous verrez 2 options, si vous configurez miniOrange comme IDP copiez les métadétails liés à miniOrange, si vous aviez besoin d'être authentifié via IDP externes (okta, AZURE AD, ADFS, ONELOGIN, GOOGLE APPS) vous pouvez obtenir des métadonnées de la 2e section comme indiqué ci-dessous.
Rester URL de connexion SAML , URL de déconnexion SAML et cliquez sur le Télécharger le certificat bouton pour télécharger le certificat dont vous aurez besoin dans Étape 2.
2. Configurez le SSO dans Slack
- Connectez-vous à Slack en tant qu'administrateur système.
- Sélectionner Paramètres et administration dans le menu, puis cliquez sur Paramètres de l'espace de travail.
- Cliquez sur Authentification languette.
- À côté du
Authentification SAMLcliquez Configurer.
- En haut à droite, activez Test mode activé.
- À côté du
URL SSO SAML, entrez votre URL du point de terminaison SAML 2.0 (HTTP) :
https://yourdomain.slack.com/sso/saml/logout
- À côté du
Émetteur du fournisseur d'identité, entrez votre ID d'entité IDP.
- Copiez l'intégralité certificat x.509 de votre fournisseur d'identité et collez-le dans le Certificat public champ.
- Entrez ce qui suit pour configurer l'application.
- Point de terminaison SAML 2.0 (HTTP): Copiez et collez ce qui suit à partir de Étape 1 :
- À côté du
Options avancéescliquez Afficher. Choisissez comment la réponse SAML de votre IDP est signée. Si vous avez besoin d'une clé de chiffrement de bout en bout, cochez la case à côté de Signer la demande d'authentification pour montrer le certificat.
- Sous Paramètres, décidez si les membres peuvent modifier leurs informations de profil (comme leur adresse e-mail ou leur nom d'affichage) une fois l'authentification unique activée. Vous pouvez également choisir si le SSO est obligatoire, partiellement obligatoire ou facultatif.
- Sous Personnaliser, entrez un Libellé du bouton de connexion.
- Sélectionner Enregistrer la configuration pour finir.
- Connectez-vous à Slack en tant qu'administrateur système.
- Sélectionner Paramètres et administration dans le menu, puis cliquez sur Paramètres de l'organisation.
- Dans la barre latérale gauche, cliquez sur Sécurité.
- Cliquez à nouveau Paramètres SSO.
- Saisissez votre Nom de l'authentification unique.
- Saisissez votre URL du point de terminaison SAML 2.0 (cela vient de la configuration de votre connecteur plus tôt.) C'est ici que les demandes d'authentification de Slack seront envoyées.
- Saisissez votre URL de l'émetteur du fournisseur d'identité (également connu sous le nom d'ID d'entité).
- Le URL de l'émetteur du fournisseur de services est défini sur https://slack.com par défaut. Ce champ doit correspondre à ce que vous avez défini dans votre IDP.
- Copiez le certificat x.509 complet auprès de votre fournisseur d'identité.
- Choisissez si les réponses et assertions SAML sont signées. Si vous avez besoin d'une clé de chiffrement de bout en bout pour votre IDP, cochez la case à côté de Signer la demande d'authentification pour montrer le certificat. Vous pouvez également sélectionner votre préférence pour AuthnContextClassRef valeurs.
- Cliquez à nouveau Configuration du test. Slack vous indiquera si les modifications ont réussi ou si vous devez apporter d'autres modifications.
- Lorsque vous êtes prêt, cliquez sur Activer l'authentification unique or Ajouter une authentification unique.
Pour résoudre les problèmes liés aux erreurs rencontrées lors de l'installation, vous pouvez consulter la section de dépannage ici.
3. Configurez 2FA pour Slack
3.1 : Activer 2FA pour les utilisateurs de l'application Slack
- Pour activer 2FA pour les utilisateurs de l'application Slack. Aller à Politiques >> Politique de connexion à l'application
- Cliquez sur Modifier icône par rapport à l'application que vous avez configurée.
- Vérifiez la Activer l'authentification à 2 facteurs (MFA) option.
- Cliquez sur Soumettre.
3.2 : Configurez 2FA pour vos utilisateurs finaux
- Pour activer 2FA/MFA pour les utilisateurs finaux, accédez à Authentification à 2 facteurs >> Options 2FA pour les utilisateurs finaux.
- Sélectionner par défaut Méthode d'authentification à deux facteurs pour les utilisateurs finaux. Vous pouvez également sélectionner des méthodes 2FA particulières que vous souhaitez afficher sur le tableau de bord des utilisateurs finaux.
- Une fois terminé les paramètres, cliquez sur Enregistrer pour configurer vos paramètres 2FA.
3.3 : Configuration 2FA pour l'utilisateur final
- Connectez-vous à Tableau de bord de l'utilisateur final en utilisant l'URL de connexion de l'utilisateur final.
- Pour la version cloud : L'URL de connexion (URL de marque) que vous avez définie.
- Pour la version sur site : L'URL de connexion sera la même que celle de l'URL de connexion administrateur.
- Sélectionner Configurer 2FA du panneau de gauche. Sélectionnez ensuite l'un des Méthode 2FA disponible.
- Pour l'instant, nous avons sélectionné le SMS >> OTP PAR SMS comme notre méthode 2FA. Vous pouvez explorer le guide pour configurer d'autres méthodes 2FA ici.
- Permettre l'OTP par SMS si vous avez ajouté votre numéro de téléphone sous les informations de votre compte, sinon cliquez sur Modifier >> Cliquez ici pour mettre à jour votre numéro de téléphone lien.
- Dans les informations du compte, cliquez sur l’icône Modifier.
- Sélectionnez votre code de pays, entrez votre numéro de téléphone portable et cliquez sur Envoyer OTP.
- Saisissez l'OTP envoyé sur votre téléphone et cliquez sur Valider.
- Après avoir ajouté votre numéro de téléphone, activez le bouton bascule pour activer OTP via SMS.
- Maintenant Activer l'authentification à 2 facteurs si cela n’a pas été fait auparavant, comme indiqué ci-dessous.
4. Tester l'authentification à deux facteurs pour Slack
5. Authentification adaptative avec Slack
L'authentification adaptative pour Slack permet aux administrateurs d'appliquer des politiques d'accès contextuelles en évaluant les conditions de connexion des utilisateurs, telles que l'adresse IP, l'appareil, la localisation et l'heure de connexion. Selon la politique configurée, l'accès peut être autorisé, soumis à une vérification supplémentaire ou refusé. Les administrateurs peuvent également configurer des alertes par e-mail, personnaliser les messages d'erreur affichés aux utilisateurs, examiner les paramètres de politique avant le déploiement et attribuer des politiques d'authentification adaptative aux politiques de connexion des applications afin de renforcer la sécurité et d'empêcher les accès non autorisés.
[Remarque : La section Authentification adaptative a été déplacée du menu de navigation de gauche. Vous pouvez désormais accéder aux stratégies d’authentification adaptative et les gérer en accédant à Stratégies >> Stratégie d’accès adaptatif.]
A. Restreindre l'accès à Slack avec une restriction d'accès basée sur l'adresse IP
La restriction d'accès basée sur l'adresse IP permet aux administrateurs de contrôler l'accès des utilisateurs en fonction de l'adresse IP source de la requête de connexion. Ils peuvent configurer des adresses IP et des plages d'adresses IP de confiance ou restreintes, et définir l'action à entreprendre lorsqu'une adresse IP correspond aux critères configurés. Lors de l'authentification, l'adresse IP de l'utilisateur est comparée à la politique configurée et l'accès est autorisé, refusé ou contesté selon la configuration choisie.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur l'adresse IP de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Élargir la Restriction d'accès basée sur l'adresse IP Pour configurer les règles d'accès basées sur l'adresse IP, cliquez sur l'icône déroulante de cette section.
- Cliquez à nouveau Ajouter une plage d'adresses IP pour configurer les adresses IP ou les plages d'adresses IP pour la stratégie.
- Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
- Choisissez soit Autoriser or Refuser en sélectionnant l'option correspondante dans le menu déroulant. Si un utilisateur tente de se connecter avec une adresse IP autorisée, l'accès lui sera systématiquement accordé.
- Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
- Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une plage d'adresses IP .
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionner Action pour le changement de comportement, choisissez la bonne Action et Type de défi pour l'utilisateur de cette section.
| Attribut (Option) |
Description |
| Autoriser |
Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition d'authentification adaptative est vraie. |
| Refuser |
Refuser les authentifications utilisateur et l'accès aux services si la condition d'authentification adaptative est vraie. |
| Challenge |
Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur. |
- Options de type de défi : Définissez le type de défi lorsque l'action pour le comportement est configurée comme Défi.
| Attribut |
Description |
| Deuxième facteur utilisateur |
L'Utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a choisi ou attribué tel que
|
| KBA (authentification basée sur les connaissances) |
Le système posera à l'utilisateur deux des trois questions configurées dans sa console libre-service. Ce n'est qu'après avoir répondu correctement aux deux questions que l'utilisateur pourra poursuivre. |
| OTP sur un autre e-mail |
L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation. |
- Cliquez sur Suivant continuer.
B. Restreindre l'accès à Slack avec la restriction d'accès basée sur l'appareil
C. Restreindre l'accès à Slack grâce à la restriction d'accès basée sur la localisation
Dans les restrictions géographiques, l'administrateur configure une liste de lieux où les utilisateurs peuvent être autorisés à se connecter ou non, selon les conditions qu'il définit. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs de localisation (latitude, longitude et code pays) sont comparés à la liste configurée par l'administrateur. En fonction de cette comparaison, l'accès est autorisé, soumis à une vérification ou refusé.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur la localisation de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Cliquez sur le Déroulante pour élargir le Restriction d'accès basée sur la localisation section permettant de configurer les règles d'accès basées sur la localisation.
- Sélectionner Enregistrer le lieu si l'utilisateur relève le défi enregistrer automatiquement la localisation d'un utilisateur après la réussite de la vérification du défi.
- Cliquez sur Ajouter un emplacement.
- Dans l' Rechercher un lieu Dans ce champ, saisissez le nom du lieu et sélectionnez le lieu approprié dans les résultats de la recherche.
- Spécifiez le rayon autour de l'emplacement sélectionné et choisissez l'unité de distance (KM ou Miles). Cela correspondra à la superficie totale à l'intérieur et autour de l'emplacement que nous avons configuré à l'aide des points de latitude et de longitude.
- Pour chaque emplacement configuré, indiquez si l'accès doit être Autorisé or Dénié.
- Vous pouvez cliquer sur le Ajouter un emplacement pour ajouter plusieurs emplacements, puis suivez les étapes 2 à 4 comme mentionné ci-dessus.
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
- Cliquez sur Suivant continuer.
D. Restreindre l'accès à Slack avec une restriction d'accès basée sur le temps
Dans le cadre des restrictions horaires, l'administrateur configure un fuseau horaire avec des heures de début et de fin. L'accès des utilisateurs est ensuite autorisé, refusé ou soumis à une vérification en fonction des conditions définies dans la politique. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs liés au fuseau horaire, tels que le fuseau horaire et l'heure système actuelle, sont comparés à la liste configurée par l'administrateur. En fonction de cette configuration, l'accès est autorisé, refusé ou soumis à une vérification.
Vous pouvez configurer l'authentification adaptative avec restriction temporelle de la manière suivante :
- Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
- Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
- Élargir la Restriction d'accès basée sur le temps section en cliquant sur l'icône déroulante pour accéder aux règles de restriction d'accès basées sur le temps.
- Entrer le Délai d'attente de la fenêtre de connexion (minutes) Pour prévoir un délai de grâce avant l'heure de début et après l'heure de fin de la fenêtre de connexion configurée. Si aucune valeur n'est spécifiée, le délai par défaut de 0 minute est appliqué.
- Cliquez à nouveau Ajouter du temps créer une règle d'accès basée sur le temps.
- Sélectionnez le requis Fuseau horaire, configurez le Heure de début et Heure de fin et choisissez les jours concernés.
- Pour chaque règle temporelle, indiquez si l'accès doit être Autorisé or Dénié.
- Cliquez sur le Ajouter du temps ajouter plusieurs fuseaux horaires.
- Une fois les modifications effectuées, cliquez sur Suivant.
- Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
- Cliquez sur Suivant continuer.
E. Alertes par courriel et messages électroniques personnalisés
Cette section gère les notifications et les alertes relatives à la politique d'accès adaptatif. Elle propose les options suivantes :
- Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
- Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.
- Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
- Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)
- Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.
| Option |
Description |
| Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus |
L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements. |
| Défi terminé et appareil enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil. |
| Défi terminé mais appareil non enregistré |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil. |
| Défi échoué |
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi. |
- Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
- Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.
F. Révision
Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.
- Une fois que vous avez vérifié toutes les configurations, cliquez Créer une stratégie pour enregistrer et activer la police d'assurance.
- Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.
G. Ajouter une politique d'authentification adaptative à Slack
- Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
- Cliquez sur Modifier option d'icône pour la politique d'application prédéfinie.
- Définissez votre politique dans le Nom de la politique et sélectionnez Mot de passe comme Premier facteur.
- Permettre Authentification adaptative Sur la page Modifier la politique de connexion, sélectionnez la méthode de restriction souhaitée.
- Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
-
Appliquer les restrictions à l'aide de : Configurez la manière dont plusieurs restrictions d'authentification adaptatives doivent être évaluées lors de la connexion de l'utilisateur.
- ET: Pour que la tentative de connexion soit autorisée, toutes les restrictions activées doivent être satisfaites.
- OU: Au moins une restriction activée doit être satisfaite pour que la tentative de connexion soit autorisée.
-
Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires afin de renforcer la sécurité des comptes et de contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.
- Restriction IP : Pour une sécurité renforcée, limitez l'accès à la connexion à des adresses IP ou des plages d'adresses IP spécifiques.
- Restriction de l'appareil : Autoriser l'accès à la connexion uniquement à partir d'appareils de confiance ou pré-autorisés.
- Restriction de localisation : Contrôler l'accès des utilisateurs en fonction de leur situation géographique.
- Limite de temps : Limiter l'accès des utilisateurs à des jours ou des périodes horaires spécifiques.
- Imposer l'authentification multifacteur à chaque tentative de connexion : Exiger que les utilisateurs effectuent une vérification MFA à chaque tentative de connexion, quel que soit l'appareil ou l'état de la session.
Comment ajouter un appareil de confiance
- Lorsque l'utilisateur final se connecte à la console libre-service après la stratégie de restriction de l'appareil est activé, il a la possibilité d'ajouter l'appareil actuel en tant qu'appareil de confiance.
Références externes
