Ubuntu SSH で (2FA/MFA) を有効にする方法は?

Linuxモジュールをダウンロード

Ubuntu SSH 2 要素認証ソリューションは、Ubuntu デスクトップにログインするための安全な方法を提供し、攻撃者がパスワードを推測することを困難にします。 2要素認証（XNUMXFA/MFA）セキュリティの層が追加されるだけでなく、会社のサーバーや Ubuntu (Linux) システムのリスクも軽減されます。まず、通常のユーザー名とパスワードを入力し、次に、身元を証明する 2 番目の認証を求められます。

miniOrange はオンプレミスの AD (Active Directory) に接続できるため、ユーザーは AD 資格情報を使用して認証できます。miniOrange Ubuntu 2要素認証 (XNUMXFA) モジュールはLinuxオペレーティングシステムにインストールすることができ、2要素認証または多要素認証ローカルおよびリモートSSHアクセスに加えて、miniOrangeは 15以上のMFA方式 Ubuntuのような様々なユースケースに2FAを実装するためのものです。 IAM ユーザーと組織は、パスワード制限、サインイン方法の制限、Google AuthenticatorまたはMicrosoft Authenticator、Authy 2要素認証アプリ、miniOrange Authenticatorアプリなど、特定の認証と設定を設定できます。Ubuntuで2FAを設定するには、こちらの詳細なガイドに従ってください。

チェックアウトの詳細 Linux SSH とローカルログイン MFA ソリューションそしてその特徴。

miniOrange MFA ソリューションでサイバー保険に準拠します。プロフィール

無料のインストールサポートを受ける - スロットを予約する

miniOrange は、2 日間の無料トライアルで、システムエンジニアとの相談電話を通じて、お客様の環境に Linux Ubuntu MFA / 30FA (XNUMX 要素認証) をインストールまたは設定するための無料サポートを提供します。

これを行うには、次のメールアドレスにメールを送信してください。 idpsupport@xecurify.com スロットを予約していただければ、すぐに設定をお手伝いいたします。

Ubuntu 2要素認証を有効にする手順ガイド

1. 2FA用のアプリとポリシーの追加

miniOrangeにログイン管理コンソール.
に行く アプリ。 ソフトウェアの制限をクリック アプリケーションを追加

選択する デスクトップ from 全てのアプリ ドロップダウン。

ソフトウェアの制限をクリック Linux/UNIX.

追加 表示名 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します Save.

あなたはあなたにリダイレクトされます政策のセクションから無料でダウンロードできます。

以下を行うには、 グループの割り当て ボタン。新しい グループ割り当てを構成する モーダルが開きます。
- グループの割り当て: アプリケーションにリンクするグループを選択します。一度に最大20グループまで選択できます。
- 新しいグループを作成する必要がある場合は、 新しいグループを追加
- グループ名を入力してクリック グループを作成.
- ソフトウェアの制限をクリック次へ.
- ポリシーの割り当て: 選択したグループに必要なポリシーを追加します。以下の詳細を入力してください。
- 第一の要因: ドロップダウンからログイン方法を選択します。

ソフトウェアの制限をクリック Save選択したすべてのグループに対してポリシーが作成されます。
送信すると、新しく追加されたポリシーがリストに表示されます。

2. 2FAオプションを選択する

に行く 2要素認証 >> エンドユーザーの2FAオプションを選択する.

ユーザーにMFAの設定や使用を許可しない方法を無効にします

3. Linux Ubuntu用のminiOrange 2FA/MFAプロバイダーを設定する

miniOrange MFA Debパッケージを以下からダウンロードしてください。こちら.
次のコマンドを使用して、ダウンロードした DEB ファイルに実行権限を付与します。

chmod a+x miniorange-mfa.deb

次のコマンドを実行して、 miniOrange MFA パッケージ:

sudo dpkg -i miniorange-mfa.deb

オプション	詳細説明
- インストール	miniOrange MFAをインストールする
- アンインストール	miniOrange MFAを削除する
--enable_ssh	SSHログインにminiOrange MFAを有効にする
--disable_ssh	SSHログインでminiOrange MFAを無効にする
-e	miniOrangeの設定ファイルを編集する
-d	miniOrangeの設定ファイルを表示する
--enable_pl	パスワードレス認証を有効にする
--disable_pl	パスワードレス認証を無効にする
- チェック	miniOrange MFA セットアップのトラブルシューティングチェックを実行する
- テスト	指定されたユーザー名の指定されたサービス（ログイン、sshd、またはsudo）のminiOrange MFAをテストします。

2FA 構成を開始するには、次のコマンドを実行します。

sudo miniorange-mfa --install

設定中に、いくつかの詳細を入力するよう求められます。

クラウドまたはオンプレミスで miniOrange 管理者アカウントにログインします。
以下を行うには、設定右上のアイコン。

コピー 顧客キーとAPIキー.

に移動します アプリ 左側のメニューから「Linuxアプリケーション」セクションを選択し、作成したLinuxアプリケーションの名前をコピーします。ステップ 1.

プロンプトが表示されたら、これらの詳細をターミナルに貼り付けて Enter キーを押します。

SSH ログイン時に MFA を有効にするように求められます。SSH ログイン時に MFA を有効にする場合は、「y」と入力して Enter キーを押します。

MFA 構成のテスト:

テスト UI ログイン: UI ログイン (GDM) の MFA をテストするには、以下のコマンドを使用します。

miniorange-mfa --test login <username>

SSH ログインをテストする: SSH ログインの MFA をテストするには、以下のコマンドを使用します。

miniorange-mfa --test sshd <username>

問題のトラブルシューティング: MFA のテスト中に問題が発生した場合は、以下のコマンドを使用してトラブルシューティングを行ってください。

miniorange-mfa --check

4. Linux Ubuntuの多要素ソリューションをテストする

MFA モジュールが正常に構成されたため、MFA を使用して Linux デスクトップにログインできるようになりました。

正しいパスワードを入力すると、OTP の入力を求められます。

Ubuntu 2要素認証 (XNUMXFA): Google Authenticator

SSH 経由でログインする場合、パスワード認証が成功すると MFA が求められます。

miniOrange MFA コマンドのマニュアルにアクセスするには、次のコマンドを使用します。

man miniorange-mfa

Ubuntu 2要素認証 (XNUMXFA): miniOrange マニュアル

5. ユーザーディレクトリを構成する（オプション）

miniOrangeは、さまざまな外部ソースからのユーザー認証を提供します。 ディレクトリ (ADFS、Microsoft Active Directory、Microsoft Entra ID、OpenLDAP、Google、AWS Cognito など) アイデンティティプロバイダー (Okta、Shibboleth、Ping、OneLogin、KeyCloak など) データベース (MySQL、Maria DB、PostgreSQLなど) さらに多くの既存のディレクトリ/ユーザーストアを構成したり、miniOrange でユーザーを追加したりできます。

miniOrangeをIDPとして設定する
ADをユーザーディレクトリとして設定する
外部IDPの設定

miniOrange にユーザーを追加するには、次の 2 つの方法があります。

miniOrangeでユーザーを作成する
ユーザーの一括アップロード

1. miniOrangeでユーザーを作成する

ソフトウェアの制限をクリック ユーザー >> ユーザーリスト >> ユーザーの追加.

ここで、パスワードなしでユーザーの詳細を入力し、 ユーザーの作成

ユーザーの作成が成功すると通知メッセージが表示される 「エンドユーザーが正常に追加されました」 ダッシュボードの上部に表示されます。

ソフトウェアの制限をクリック オンボーディングステータスタブ登録したメールIDでメールを確認し、アクションを選択してください パスワードリセットリンクを記載したアクティベーションメールを送信する from アクションを選択 ドロップダウンリストをクリックし、 Apply

さて、あなたのメールIDを開いてください。miniOrangeから受信したメールを開いて、アカウントのパスワードを設定します。
次の画面でパスワードと確認パスワードを入力し、 シングルサインオン（SSO）パスワードのリセット

これで、資格情報を入力して miniOrange アカウントにログインできます。

2. CSV ファイルをアップロードして miniOrange にユーザーを一括アップロードします。

MFAデバイスに移動する ユーザー >> ユーザーリスト。をクリックしてください ユーザーを追加する

一括ユーザー登録 サンプルのcsv形式をダウンロード コンソールから、指示に従ってこの csv ファイルを編集します。

ユーザーを一括アップロードするには、ファイルを選択し、 カンマ区切りの .csv ファイル形式 次に「アップロード」をクリックします。

csv ファイルが正常にアップロードされると、リンクを含む成功メッセージが表示されます。
そのリンクをクリックすると、アクティベーションメールを送信するユーザーのリストが表示されます。アクティベーションメールを送信するユーザーを選択し、[アクティベーションメールの送信] をクリックします。選択したユーザーにアクティベーションメールが送信されます。

ソフトウェアの制限をクリック ID プロバイダー >> ID プロバイダーの追加 ダッシュボードの左側のメニュー

IDプロバイダーの選択で、 AD/LDAP ディレクトリ をドロップダウンから選択します。

次に検索 AD/LDAP それをクリックします。

MINIORANGE に LDAP 設定を保存する: miniOrange の設定を維持する場合は、このオプションを選択してください。Active Directory がファイアウォールの背後にある場合は、AD への受信リクエストを許可するためにファイアウォールを開く必要があります。
LDAP 構成をオンプレミスに保存: 設定を社内に保持し、社内のADへのアクセスのみを許可する場合は、このオプションを選択します。ダウンロードしてインストールする必要があります。 miniOrange ゲートウェイあなたの前提に基づいて。

AD/LDAPを入力する 表示名 の三脚と 識別する 名前。
選択する ディレクトリの種類 as Active Directory.
LDAPサーバーのURLまたはIPアドレスをLDAPに対して入力します サーバー URL フィールド。
以下を行うには、 試験用接続 ボタンを押して接続が成功したかどうかを確認します LDAPサーバー.

Active Directoryで、ユーザーコンテナ/OUのプロパティに移動し、 識別名属性バインドアカウントには、Active Directory のディレクトリ参照に必要な最低限の読み取り権限が必要です。また、プロビジョニング（ユーザーまたはグループの作成、更新、削除など）を伴うユースケースの場合は、アカウントに適切な書き込み権限も付与する必要があります。

有効なバインドアカウントパスワードを入力します。
以下を行うには、 バインドアカウント資格情報のテスト LDAP 接続の LDAP バインド資格情報を確認するボタン。

検索ベース ディレクトリ内でユーザーの検索が開始される場所です。識別名を取得したのと同じ場所から取得します。

ドロップダウンメニューから適切な検索フィルターを選択します。 単一グループフィルターのユーザー or 複数グループフィルターのユーザーを置き換えますグループDN> 検索フィルターに、ユーザーが所属するグループの識別名を入力します。カスタム検索フィルターを使用するには、 「カスタムフィルターを作成する」 オプションを選択し、それに応じてカスタマイズします。

以下を行うには、次へボタン、またはに移動します ログインオプション タブには何も表示されないことに注意してください。
ADの設定時に以下のオプションを設定することもできます。有効化 LDAPをアクティブ化する AD/LDAPからユーザーを認証するには、次へユーザーストアを追加するためのボタン。

以下に属性のリストと、有効にした場合の動作を示します。これに応じて有効/無効にすることができます。

属性	詳細説明
LDAPをアクティブ化する	有効にすると、すべてのユーザー認証はLDAP認証情報を使用して行われます。
フォールバック認証	LDAP認証に失敗した場合、ユーザーはminiOrangeを通じて認証されます。
管理者ログインを有効にする	これを有効にすると、miniOrange管理者ログインはLDAPサーバーを使用して認証されます。
ユーザーにIdPを表示する	このオプションを有効にすると、このIdPはユーザーに表示されます
miniOrangeでユーザーを同期する	LDAP認証後、miniOrangeにユーザーが作成されます。

以下を行うには、次へボタン、またはに移動します Attributes タブには何も表示されないことに注意してください。

ADからの属性マッピング

デフォルトではuserName、firstName、lastName、emailが設定されています。下にスクロールしてクリックしてください。 Save ボタンをクリックします。Active Directoryから追加の属性を取得するには、 構成された属性を送信する左側に、アプリケーションに公開する名前を入力します。右側に、Active Directoryの属性名を入力します。例えば、Active Directoryから会社属性を取得し、それを組織名として設定済みアプリケーションに送信する場合は、次のように入力します。
SP に送信される属性名 = 組織
IDPからの属性名 = 会社