← Cloudflare One / cloudflare-one / access-controls / access-settings

Independent MFA

Independent multi-factor authentication (MFA) umožňuje vynutit požadavky na MFA přímo v Access, aniž byste se museli spoléhat na svého poskytovatele identity (IdP). Uživatelé se ověřují u svého IdP jako obvykle a Access si před udělením přístupu k aplikaci vyžádá další ověřovací metodu.

Protože můžete nakonfigurovat MFA na úrovni aplikace a zásady, můžete vynutit přísnější metody ověřování, jako jsou hardwarové bezpečnostní klíče, u citlivých aplikací, aniž byste je museli vyžadovat v celé organizaci. Díky tomu můžete přidat další zabezpečení tam, kde je to nejdůležitější, a přitom se vyhnout únavě z MFA (MFA fatigue) u širší skupiny uživatelů.

Než budete moci vynutit nezávislé MFA pro aplikace a zásady, musíte zapnout nezávislé MFA na úrovni organizace.

Po zapnutí nezávislého MFA mohou uživatelé registrovat autentizátory přes App Launcher.

Pokud plánujete používat klíče PIV pro MFA pro infrastrukturní aplikace, nakonfigurujte požadavky na klíče PIV v nastavení Access vaší organizace. Tyto požadavky určují, které klíče PIV mohou uživatelé zaregistrovat.

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Řízení přístupu > Nastavení Access.

2. V části Povolit vícefaktorové ověřování (MFA), zapněte autentizátor „Personal Identity Verification (PIV) key“.

3. Nakonfigurujte následující nastavení:

   Nastavení	Popis	Možnosti
   Typ klíče	Algoritmus klíče SSH	ECDSA, Ed25519, RSA
   Velikost klíče	Délka klíče v bitech	ECDSA: 256, 384, 521. RSA: 2048, 3072, 4096
   Zásada PIN	Když uživatel musí zadat svůj PIV PIN	never, once (jednou za relaci), always (při každém použití)
   Zásada doteku	Když se uživatel musí dotknout hardwarového klíče	never, always (při každém použití), cached (uloženo v mezipaměti na 15 sekund)
   Vyžadovat FIPS	Vyžadovat, aby se klíč PIV nacházel na zařízení s certifikací FIPS	true, false

4. Vyberte Save.

AAGUID ↗ (Authenticator Attestation GUID) je 128bitový identifikátor, který určuje výrobce a model WebAuthn ↗ autentizátor. Omezením registrace na konkrétní sadu AAGUID můžete vyžadovat, aby uživatelé registrovali pouze schválený hardware, například bezpečnostní klíče s certifikací FIPS nebo zařízení vydaná společností.

Access při registraci autentizátoru uživatelem kontroluje AAGUID. Protože se registrace vztahuje na celou organizaci, omezení AAGUID se konfigurují na úrovni organizace.

U klíčů FIDO2 Access při každém připojení uživatele k aplikaci infrastruktury navíc kontroluje AAGUID. Pokud klíč FIDO2 odeberete ze seznamu povolených, přestane fungovat, i když jej uživatel dříve zaregistroval.

Klíče PIV neposkytují AAGUID, takže se na ně tato omezení nevztahují.

Když required_aaguids není nastaveno, Access nevynucuje omezení AAGUID.

AAGUIDy se spravují pomocí Seznamy. Vytvořte seznam typu AAGUID, poté na tento seznam odkažte v konfiguraci MFA vaší organizace.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/lists" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Approved security keys",
		"description": "AAGUIDs for MFA enrollment",
		"type": "AAGUID",
		"items": [
				{
						"value": "8c39ee867f9a4a959ba3f6b097e5c2ee",
						"description": "YubiKey Bio Series - FIDO Edition (Enterprise Profile)"
				}
		]
	}'

Pokud váš poskytovatel identity již uživatele vyzývá k vícefaktorovému ověření (MFA), můžete Access nakonfigurovat tak, aby toto MFA přijímal, aniž by o ně žádal znovu. Access kontroluje deklaraci Authentication Method Reference (AMR) vrácenou poskytovatelem IdP, jak je definováno v RFC 8176 ↗. Pokud hodnota AMR odpovídá povolený typ autentizátoru pro aplikaci nebo zásadu, Access přeskočí samostatnou výzvu k MFA.

Access ignoruje hodnoty AMR, které neodpovídají žádnému podporovanému typu ověřovatele (například pwd, sms, tel, geo, kba, sc, pin, user, mca, rba, wia).

Access neuplatňuje porovnávání AMR v následujících případech:

• IdP nevrací amr claim.
• IdP vrací pouze hodnoty AMR, které neodpovídají povolený typ autentizátoru pro aplikaci nebo zásadu.
• Relace shody AMR uživatele vypršela, protože MFA přes svého IdP naposledy provedl dříve, než je nastavená doba shody AMR.

V takových případech Access ověří, zda existují platné relace MFA. Pokud žádné platné relace MFA neexistují, vyzve uživatele k samostatnému dokončení MFA.

Vypnutí nezávislého MFA pro organizaci:

Uživatelé registrují autentizátory přes App Launcher.

Pokud má uživatel již zaregistrovaný alespoň jeden autentizátor, Access od něj vyžaduje ověřit pomocí existující metody MFA než budou moci přidat nový autentizátor.

Chcete-li zaregistrovat autentizátor:

1. Přejděte do App Launcher vaší organizace na <your-team-name>.cloudflareaccess.com.

2. Přihlaste se pomocí svého poskytovatele identity nebo pomocí jednorázového PIN (OTP).

3. Přejděte na Účet > zařízení MFA > Přidejte zařízení MFA.

4. Pokud již máte zaregistrované zařízení MFA, dokončete výzvu k ověření MFA.

5. Vyberte typ autentizátoru, který chcete zaregistrovat, a postupujte podle pokynů na obrazovce.

   Ověřovací aplikace

   1. Vyberte Ověřovací aplikace.
   2. Naskenujte QR kód pomocí aplikace pro ověřování (například Google Authenticator, Microsoft Authenticator nebo Authy). Případně můžete instalační klíč do aplikace pro ověřování zadat i ručně. Jako hashovací funkci použijte SHA1 a časový krok nastavte na 30 sekund.
   3. Zadejte 6místné časově omezené jednorázové heslo (TOTP) vygenerované ve vaší aplikaci pro ověřování a potvrďte tak registraci.

   Bezpečnostní klíč

   1. Vyberte Bezpečnostní klíč.
   2. Jakmile vás k tomu prohlížeč vyzve, vložte svůj bezpečnostní klíč a postupujte podle pokynů na obrazovce.
   3. Jakmile prohlížeč potvrdí registraci, bezpečnostní klíč se zaregistruje.

   Pro účely zálohování můžete zaregistrovat více bezpečnostních klíčů.

   Biometrie

   1. Vyberte Biometrie > Registrovat biometrické údaje.
   2. Zobrazí se výzva k registraci pomocí typu autentizátoru, který je na vašem zařízení k dispozici (například Add macOS Touch ID nebo Přidejte Windows Hello).
   3. Jakmile prohlížeč potvrdí registraci, je autentizátor platformy zaregistrován.

   Klíč PIV (pouze pro infrastrukturní aplikace)

   Registrace klíče PIV vyžaduje další nastavení na straně klienta a používá se pouze pro MFA s infrastrukturními aplikacemi. Úplné pokyny najdete v Registrace klíče PIV pro aplikace infrastruktury.

   Klíč FIDO2 (pouze pro infrastrukturní aplikace)

   Registrace klíče FIDO2 vyžaduje dodatečné nastavení na straně klienta a používá se pouze pro MFA s infrastrukturními aplikacemi. Tato metoda je oddělená od registrace bezpečnostního klíče prostřednictvím prohlížeče. Úplné pokyny najdete v Registrace klíče FIDO2 pro aplikace infrastruktury.

Nyní můžete tyto autentizátory použít k přihlášení do aplikací své organizace.

Než se uživatelé budou moci zaregistrovat, zapněte Klíč FIDO2 autentizátor v organizačním globální nastavení MFA.

App Launcher generuje příkaz pro registraci vašeho účtu. Nevytvářejte příkaz pro registraci ručně.

1. Přejděte do App Launcher vaší organizace na <your-team-name>.cloudflareaccess.com.
2. Přihlaste se pomocí svého poskytovatele identity nebo jednorázového PIN (OTP).
3. Přejděte na Účet > zařízení MFA > Přidejte zařízení MFA > Klíč FIDO2.
4. Vyberte kartu pro váš operační systém.
5. Zkopírujte příkaz pro registraci zobrazený v App Launcher.
6. Spusťte příkaz v místním terminálu na zařízení, které používáte pro SSH.
7. Postupujte podle zobrazených pokynů a poté zkopírujte výstup JSON.
8. Vraťte se do App Launcher a vložte JSON do pole pro registraci.
9. Dokončete registraci.

Příkaz vytvoří identitu na ~/.ssh/id_ed25519_sk_cf.

Přidejte následující konfiguraci do svého ~/.ssh/config soubor:

Host *
  IdentityFile ~/.ssh/id_ed25519_sk_cf

Případně identitu zadejte při připojování:

ssh -i ~/.ssh/id_ed25519_sk_cf <username>@<target IP>

Další informace o tom, jak OpenSSH využívá hardwarové klíče FIDO2, najdete v dokumentaci společnosti Yubico Zabezpečení SSH pomocí FIDO2 ↗.

Registrace klíče PIV je oddělená od výše uvedené obecné registrace autentizátoru a vyžaduje další nastavení na straně klienta.

Před registrací musíte mít klíč YubiKey s firmwarem 4.3 nebo novějším a klíč vygenerovaný ve slotu PIV 9a. Pokud jste ještě nevygenerovali klíč PIV, přečtěte si Vygenerujte klíč PIV.

Pokud na svém YubiKey ještě nemáte klíč PIV, vygenerujte ho ve slotu 9a:

ykman piv keys generate \
  --algorithm ECCP256 \
  --pin-policy once \
  --touch-policy always \
  9a pubkey.pem

Když YubiKey začne blikat, dotkněte se ho a potvrďte tím vygenerování klíče. Poté vytvořte samopodepsaný certifikát, aby byl klíč viditelný pro agenty SSH:

ykman piv certificates generate --subject "CN=SSH-Identity" 9a pubkey.pem

Po vygenerování klíče generovat atestační certifikáty a pokračujte v registraci.

Atestační certifikáty dokazují, že klíč byl vygenerován na originálním hardwaru. Spusťte následující příkazy a exportujte je ze svého YubiKey:

ykman piv keys attest 9a leaf.pem
ykman piv certificates export f9 intermediate.pem

• leaf.pem obsahuje veřejný klíč a metadata klíče ve slotu 9a.
• intermediate.pem je certifikát CA pro atestaci YubiKey.

1. Přejděte do App Launcher vaší organizace na <your-team-name>.cloudflareaccess.com.
2. Přihlaste se pomocí poskytovatele identity (IdP), jednorázového PIN kódu, nebo s Cloudflare jako vaším IdP.
3. Přejděte na Účet > zařízení MFA > Přidejte zařízení MFA.
4. Vyberte Klíč PIV.
5. Vložte obsah leaf.pem do Koncový certifikát .
6. Vložte obsah intermediate.pem do Mezilehlý certifikát .
7. Vyberte Registrace.

Access extrahuje a ukládá veřejný klíč SSH z vašeho certifikátu pro budoucí ověřování k infrastrukturním aplikacím. Pro účely zálohování můžete zaregistrovat více klíčů PIV.

Po registraci nastavte svého klienta SSH tak, aby používal klíč PIV. Následující příklad používá yubikey-agent na macOS. Pro Linux si přečtěte dokumentace yubikey-agent ↗.

1. Nainstalujte a spusťte yubikey-agent:

   brew install yubikey-agent
   brew services start yubikey-agent

2. Extrahujte veřejný klíč SSH z koncového certifikátu:

   openssl x509 -in leaf.pem -pubkey -noout | ssh-keygen -i -m PKCS8 -f /dev/stdin > ~/.ssh/id_yubikey.pub

3. Přidejte následující do svého ~/.ssh/config:

   Host *
     IdentityAgent /opt/homebrew/var/run/yubikey-agent.sock
     IdentitiesOnly yes
     AddKeysToAgent yes
     IdentityFile ~/.ssh/id_yubikey.pub

4. Ověřte, že je klíč načten:

   ssh-add -L

   Výstup by měl zobrazovat ecdsa-sha2-nistp256 klíč.

Uživatelé mohou své vlastní autentizátory odstranit z App Launcher. Pokud má uživatel zaregistrovaný alespoň jeden autentizátor, Access po něm vyžaduje, aby ověřit pomocí existující metody MFA než budou moci odebrat zařízení.

1. Přejděte do App Launcher vaší organizace na <your-team-name>.cloudflareaccess.com.
2. Přejděte na Účet > zařízení MFA.
3. Vedle zařízení MFA vyberte nabídku se třemi tečkami a poté vyberte Odebrat zařízení MFA.
4. Pokud máte zaregistrovaná i jiná zařízení MFA, dokončete výzvu k ověření MFA.

Správci mohou také mazat autentizátory jménem uživatelů.

Pokud má uživatel zaregistrovaný alespoň jeden autentizátor, Access vyžaduje ověření MFA ještě předtím, než uživatel může autentizátor z App Launcher přidat nebo odebrat. Tento ověřovací krok je oddělený od přihlášení přes IdP a využívá uživatelovo stávající nezávislé zařízení MFA.

Jakmile uživatel dokončí ověření MFA, má 10 minut na přidání nebo odebrání autentizátorů bez dalších výzev. Toto okno platí pouze pro aktuální zařízení. Po uplynutí 10 minut, nebo pokud uživatel přejde na jiné zařízení, Access znovu vyžaduje ověření MFA.

Tím se zabraňuje tomu, aby útočník s kompromitovanými přihlašovacími údaji IdP mohl upravit uživatelovy zaregistrované autentizátory. I když útočník získá přístup k relaci uživatele u IdP, nemůže obejít nezávislý ověřovací krok MFA, aniž by měl také uživatelův zaregistrovaný autentizátor. Pokud uživatel ztratí svůj jediný autentizátor a nemůže se ověřit, správce jej může smazat, aby umožnil novou registraci. Přečtěte si Spravovat autentizátory uživatelů.

Správci mohou zobrazovat a mazat autentizátory zaregistrované uživateli. To se hodí při řešení uzamčení účtu nebo reakci na bezpečnostní události.

Chcete-li zobrazit registrované autentizátory uživatele:

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Tým a zdroje > Uživatelé.
2. Vyberte uživatele.
3. Přejděte na zařízení MFA. Každá položka zobrazuje ID autentizátoru, jeho uživatelem nastavený název a metodu MFA.

Pokud je uživatel uzamčen nebo potřebujete autentizátor z bezpečnostních důvodů zneplatnit, můžete jej odstranit z dashboardu nebo přes API.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/users/$USER_ID/mfa_authenticators/$AUTHENTICATOR_ID" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Pokud uživatel ztratí přístup ke všem svým zaregistrovaným autentizátorům:

1. Smazat autentizátory uživatele.
2. Uživatel poté může přistupovat k chráněné aplikaci a zobrazí se mu odkaz k registraci nového autentizátoru.
3. Případně sdílejte s uživatelem přímý odkaz na registraci: <your-team-name>.cloudflareaccess.com/AddMfaDevice.

• Vynuťte MFA pro aplikace a zásady