L'abuso delle credenziali è la causa più comune nel 13% delle violazioni di dati. I criminali informatici possono accedere a dati aziendali sensibili tramite password deboli, rubate o riutilizzate appartenenti a dipendenti o clienti.
Il Single Sign-On (SSO) e l'autenticazione a più fattori (MFA) sono soluzioni standard del settore per affrontare questi problemi e possono contribuire a mitigare le minacce alla sicurezza.
Tuttavia, i clienti esterni di Jira Service Management (JSM) spesso si autenticano in modo diverso.
Se l'autenticazione a due fattori (2FA) integrata di Jira viene imposta a tutti, i dipendenti che già si autenticano tramite un provider di identità (IdP) potrebbero vedersi richiedere l'autenticazione a più fattori (MFA) due volte.
Se disabilitata, i portali clienti potrebbero rimanere privi di protezione MFA.
Questa guida illustra come proteggere gli account sia dei dipendenti (Utenti Interni) che dei clienti JSM (Utenti Esterni) nella tua istanza del Data Center.
La sfida dell'autenticazione in Jira e nella gestione dei servizi Jira
La maggior parte delle organizzazioni gestisce due gruppi di utenti molto diversi all'interno degli ambienti Jira DC.
Utenti interni: dipendenti, amministratori e agenti
Questi utenti in genere includono:
- Amministratori di Jira
- Sviluppatori
- Addetti al servizio di assistenza
- Dipendenti
- Stakeholder interni
Il loro flusso di autenticazione di solito si presenta così:
Provider di identità → SSO → MFA → Jira
L'autenticazione viene generalmente gestita tramite:
- SAML SSO
- SSO OAuth/OIDC
- Fornitori di identità aziendale
Gli esempi includono:
- Okta
- ID Microsoft Entra
- Area di lavoro di Google
- OneLogin
- Ping identità
Poiché l'autenticazione a più fattori (MFA) è già implementata a livello di IdP, gli utenti interni sono già protetti.
Utenti esterni: clienti JSM
I portali clienti JSM spesso servono a:
- Clienti
- Vendors
- Contractors
- Partner
- Richiedenti di supporto esterno
Questi utenti potrebbero non autenticarsi tramite il provider di identità aziendale.
Di conseguenza, gli amministratori si trovano ad affrontare una sfida comune:
Come si può proteggere l'accesso al portale clienti senza costringere i dipendenti a completare l'autenticazione a più fattori due volte?
Come proteggere i tuoi clienti con l'autenticazione a due fattori (2FA)?
L' app miniOrange per l'autenticazione a due fattori per Jira Data Center consente di applicare l'autenticazione a due fattori di Jira in modo selettivo per i clienti esterni. Invece di abilitare l'autenticazione a più fattori per tutti, è possibile indirizzare:
- Utenti specifici
- Gruppi di utenti
- Account riservati ai clienti
- utenti del servizio di assistenza
- Condizioni di accesso basate su IP
È possibile abilitare l'autenticazione a due fattori (2FA) di Jira per i clienti, escludendo però i dipendenti.
Metodi di autenticazione supportati
Puoi scegliere tra oltre 9 metodi di autenticazione:
- Mobile Authenticator
- Token hardware YubiKey
- Notifica push Duo
- WebAuthn (FIDO2)
- OTP tramite e-mail
- OTP tramite SMS
- Problemi di sicurezza
- E-mail fuori banda
- Codici di backup
È inoltre possibile configurare metodi di autenticazione primari e di backup.
Passaggio 1: Installa e configura l'autenticazione a due fattori di Jira
Installa l'app miniOrange per l'autenticazione a due fattori per Jira Data Center.
Dopo l'installazione:
- Aprire la configurazione di base.
- Seleziona il tuo metodo di autenticazione a due fattori preferito.
- Abilita le opzioni di autenticazione richieste.
- Configurare i metodi di backup.
È possibile scegliere quali metodi sono disponibili in tutta l'organizzazione.
Passaggio 2: Creare criteri di autenticazione a più fattori (MFA) accessibili solo ai clienti.
L'app supporta politiche di applicazione granulari.
È possibile
- Abilita l'autenticazione a due fattori per specifici gruppi di clienti.
- Applicare l'autenticazione a più fattori (MFA) agli utenti del portale.
- Escludi i gruppi di dipendenti
- Gestisci le policy singolarmente o in blocco
Esempio di polizza:
Abilita l'autenticazione a due fattori per:
clienti del portale
Salta l'autenticazione a due fattori per:
dipendenti
amministratori di jira
agenti del servizio di assistenza
Ciò impedisce la verifica duplicata per gli utenti interni che già si autenticano tramite SSO.
Passaggio 3: Configura l'esperienza utente e l'opzione di ripristino{#step-3-configure-user-experience-and-recovery}
È possibile configurare impostazioni che riducono le difficoltà per l'utente e minimizzano i costi di assistenza:
Ricorda dispositivo
È possibile consentire ai dispositivi attendibili di saltare la verifica ripetuta per un periodo configurabile. Ciò riduce l'affaticamento da autenticazione per gli utenti che ritornano.
Metodi di autenticazione di backup
Fornire un'autenticazione di riserva utilizzando codici di backup o metodi di autenticazione secondari. Ciò impedisce agli utenti di rimanere bloccati.
Controlli del flusso utente
Gli amministratori possono configurare:
- Applicazione del metodo di autenticazione principale
- Selezione del metodo al momento dell'accesso
- Autoriconfigurazione da parte dell'utente
- Registrazione di metodi aggiuntivi
Passaggio 4: Convalidare i flussi di accesso
Prima del rilascio in produzione, testare l'autenticazione per tutte le tipologie di utente.
Convalidare:
Flusso di accesso dei dipendenti
Dipendente → Accesso IdP → Autenticazione a più fattori (MFA) → Single Sign-On (SSO) → Jira
Nessuna sfida MFA aggiuntiva per Jira.
Flusso di accesso del cliente
Cliente → Accesso a Jira → Verifica a due fattori → Accesso al portale
Le misure di sicurezza rimangono in vigore laddove sono più necessarie.
Politiche di autenticazione avanzate per Jira
L'app miniOrange 2FA per Jira supporta configurazioni di policy avanzate, consentendo di impostare regole di autenticazione diverse per gli utenti.
Salta 2FA su SSO
Questa è una delle funzionalità più preziose per gli ambienti misti.
Gli utenti che si autenticano tramite SSO, sia esso SAML o OAuth/OIDC, possono bypassare l'autenticazione a due fattori (2FA). Ciò evita la doppia applicazione dell'autenticazione a più fattori (MFA) per i dipendenti.
Autenticazione condizionale basata su IP
È possibile applicare criteri basati sulla posizione.
Ad esempio, gli amministratori possono inserire nella whitelist gli intervalli di indirizzi IP degli uffici considerati attendibili, in modo che gli utenti che accedono da tali posizioni possano bypassare l'autenticazione a due fattori (2FA).
Regole di autenticazione basate sui gruppi
È possibile impostare criteri di sicurezza diversi per gruppi di utenti differenti.
| Gruppo | Metodo di autenticazione |
|---|---|
| Dipendenti | Autenticazione a più fattori tramite WebAuthn / IdP |
| Clienti | OTP e-mail |
| amministratori | Gettone hardware |
| Contractors | TOTP |
È possibile limitare i metodi di autenticazione a due fattori per gruppo.
Validazione una tantum tra le applicazioni Atlassian
La necessità di autenticare ogni singola app Atlassian tramite l'autenticazione a due fattori può risultare frustrante. Esiste però un modo per semplificare questo processo.
Grazie alla convalida una tantum, gli utenti che si autenticano una sola volta per qualsiasi app possono accedere alle app Atlassian connesse senza dover ripetere l'autenticazione a due fattori.
Casi d'uso comuni per l'implementazione dell'autenticazione a due fattori (2FA) in Jira
La soluzione miniOrange Jira 2FA supporta molteplici modelli di implementazione reali.
Autenticazione a due fattori per i clienti + Single Sign-On per i dipendenti
I dipendenti si autenticano tramite: SSO + IdP MFA
I clienti si autenticano tramite: autenticazione a due fattori nativa di Jira
2FA per tutti gli utenti
Proteggi tutti con le policy MFA centralizzate di Jira.
MFA solo per agente
Applicare l'autenticazione a due fattori in modo specifico per:
- Addetti al servizio di assistenza
- Squadre di supporto
- Utenti operativi privilegiati
Accesso remoto con autenticazione a più fattori (MFA)
Richiedi l'autenticazione a più fattori (MFA) solo per gli utenti che accedono al di fuori di ambienti considerati attendibili.
Conclusione
La sicurezza non deve essere sinonimo di attrito e inconvenienti.
Con miniOrange, puoi scegliere sia la sicurezza che un'ottima esperienza utente.
Con la configurazione corretta, è possibile:
- Proteggi i clienti JSM con l'autenticazione a due fattori (2FA).
- Consenti ai dipendenti di continuare a utilizzare SSO + IdP MFA
- Evita richieste di autenticazione duplicate.
- Implementare controlli di autenticazione flessibili e basati su policy.
Ciò di cui hai bisogno è un approccio mirato all'autenticazione in Jira per proteggere l'accesso senza aggiungere complessità.
Prova l'app miniOrange 2FA per Jira sull'Atlassian Marketplace →
Domande frequenti
1. Posso abilitare l'autenticazione a due fattori (2FA) di Jira solo per i clienti di Jira Service Management?
Sì. L'app miniOrange Jira 2FA consente agli amministratori di abilitare l'autenticazione a due fattori (2FA) per un sottoinsieme specifico di utenti, tra cui:
- Clienti di Jira Service Management
- Utenti solo del portale
- Utenti esterni
- Gruppi selezionati o singoli account
È possibile imporre l'autenticazione a due fattori (2FA) ai clienti escludendo però i dipendenti o gli addetti all'assistenza clienti.
2. Come posso disabilitare l'autenticazione a due fattori (2FA) di Jira per i dipendenti che utilizzano l'SSO?
È possibile utilizzare la funzione Salta l'autenticazione a due fattori (2FA) nell'SSO.
Se i dipendenti si autenticano tramite un flusso SSO supportato, come SAML o OAuth/OIDC, possono bypassare l'autenticazione a due fattori nativa di Jira dopo l'autenticazione tramite Identity Provider.
Ciò impedisce la richiesta di autenticazione a più fattori (MFA) duplicata per gli utenti interni già protetti dall'MFA dell'IdP.
3. Posso limitare l'accesso al portale clienti JSM in base a gruppi o organizzazioni?
Sì, gli amministratori possono configurare:
- Mappatura degli accessi al portale
- Mappatura dell'organizzazione
- Restrizioni di gruppo IDP
- Mappatura basata sul dominio di posta elettronica
Ciò garantisce che solo gli utenti autorizzati possano accedere a specifici portali di Jira Service Management.
Lascia un tuo commento