Authentification à deux facteurs dans OpManager

Authentification à deux facteurs dans OpManager : Authentification à deux facteurs dans OpManager : Authentification à deux facteurs

L’authentification à deux facteurs (TFA) fournit un niveau d’authentification supplémentaire et améliore la sécurité en exigeant que l’utilisateur fournisse un mot de passe unique à usage unique basé sur le temps (TOTP) généré via des applications d’authentification, ou un mot de passe à usage unique (OTP) envoyé à l’adresse e-mail configurée de l’utilisateur. La TFA renforce l’authentification et empêche les accès non autorisés.

Remarque : Cette fonctionnalité est disponible à partir de la version OpManager 125415.


 

Authentification à deux facteurs dans OpManager : page de gestion des utilisateurs

Étapes pour configurer la TFA dans OpManager

  1. Accédez à Paramètres - > Paramètres généraux -> Authentification -> Authentification à deux facteurs.
  2. Sélectionnez l’option "Activer l’authentification à deux facteurs (TFA)".

  3. Choisissez le mode d’authentification souhaité : Applications d’authentification (TOTP via des applications d’authentification, notamment Google Authenticator, Microsoft Authenticator, Duo, etc.) ou Authentification par e-mail (OTP envoyé à l’adresse e-mail configurée de l’utilisateur). 
     

    Remarque : Les paramètres du serveur de messagerie doivent être configurés pour le mode d’authentification par e-mail.
  4. Entrez le nombre de jours pendant lesquels vous souhaitez autoriser le navigateur de l’utilisateur comme navigateur de confiance. Autrement dit, l’utilisateur ne sera pas tenu de fournir un TOTP/OTP lors de la connexion sur ce navigateur pendant le nombre de jours spécifié. Cela s’appliquera si l’utilisateur coche la case permettant de faire confiance au navigateur lors de la connexion.

  5. Cliquez sur 'Enregistrer'.
     

    Remarque : Si 'Applications d’authentification' est choisi comme mode d’authentification, tous les utilisateurs seront invités à configurer leur application d’authentification lors de leur prochaine connexion.
    ⟨⟩

    Si les applications d’authentification sont le mode d’authentification choisi :

  6. Lors de la prochaine connexion, installez et suivez les étapes affichées à l’écran pour configurer l’application d’authentification souhaitée sur votre appareil mobile.

  7. Saisissez l’OTP généré dans l’application d’authentification/l’e-mail pour vous connecter.
     

    ⟨⟩

Étapes de dépannage

  • Dans le cas d’une authentification basée sur TOTP,
    • Comme le TOTP est basé sur le temps, l’heure de l’appareil mobile configuré doit être synchronisée avec l’heure du Server.
    • Dans le cas où un nouveau secret TOTP est requis en raison de la perte de l’appareil mobile configuré ou pour toute autre raison similaire, l’utilisateur administrateur peut accéder à Paramètres -> Paramètres généraux -> Gestion des utilisateurs et cliquer sur l’icône 'Réinitialiser le secret TOTP' sous 'Actions' pour l’utilisateur concerné.
    • Si l’utilisateur 'admin' par défaut ne peut pas se connecter au produit et a perdu l’appareil mobile configuré, exécutez le script suivant, "ResetSuperAdminTOTP.bat/sh" pour réinitialiser le mot de passe du super administrateur.
  • Dans le cas d’une authentification basée sur l’e-mail,
    • Lorsque le mode d’authentification choisi est 'E-mail', l’OTP sera envoyé par e-mail à l’adresse e-mail configurée de l’utilisateur. Veuillez donc vous assurer que vous avez configuré la bonne adresse e-mail. L’utilisateur administrateur a les privilèges nécessaires pour configurer la bonne adresse e-mail si celle configurée n’était pas correcte.
    • Si les utilisateurs ne parviennent pas à recevoir l’OTP par e-mail en raison d’une modification de la configuration du serveur de messagerie, exécutez le script suivant, "DisableTFA.bat/sh" pour désactiver temporairement la TFA.

Étapes pour exécuter le script

Il peut exister un scénario où le serveur de messagerie rencontre des problèmes pour envoyer l’OTP par e-mail. Ou si l’appareil mobile sur lequel l’application d’authentification TOTP a été configurée a été perdu ou n’est pas accessible. Dans de tels scénarios, l’interface utilisateur du Server OpManager ne sera pas accessible puisque l’invite OTP ne pourra pas être validée.

Dans de tels cas, pour les versions antérieures à la version 127257, contactez notre support. À partir des versions 127257 et supérieures, suivez les étapes ci-dessous,

  • Arrêtez complètement le service OpManager et ouvrez le fichier <OpManager_Home>/logs/wrapper.log puis vérifiez si la ligne suivante est disponible à la fin du fichier. Cela permet de s’assurer que le service OpManager est complètement arrêté.
  • Pour Windows, ouvrez l’invite de commande en tant qu’administrateur sur la machine Server où OpManager est installé. Pour Linux, ouvrez le terminal en tant qu’utilisateur root.
  • Accédez au répertoire <opmanager_home>/bin et exécutez le fichier de script.
  • Une invite s’affichera pour fournir le mot de passe de l’utilisateur Super Admin afin de valider l’opération.
  • Un message de réussite s’affichera une fois le script exécuté avec succès.

Erreurs possibles et résolution

Accès refusé. Veuillez exécuter ce script avec les privilèges d’administrateur.

  • Pour Windows, le script doit être exécuté en tant qu’utilisateur administrateur sur la machine où OpManager est installé. Pour Linux, l’accès utilisateur root est requis pour exécuter le script. En cas de droits d’accès insuffisants, le message d’erreur ci-dessus s’affichera.

Server est actuellement en cours d’exécution. Veuillez arrêter le Server pour exécuter ce script.

  • Le service OpManager doit être complètement arrêté afin d’exécuter le script. Arrêtez le service OpManager soit via les services, soit en exécutant le script <opmanager_home>/bin/shutdown.bat/sh.
  • Ouvrez le fichier <OpManager_Home>/logs/wrapper.log et vérifiez si la ligne suivante est disponible à la fin du fichier. Cela permet de s’assurer que le service OpManager est complètement arrêté.

Mot de passe de l’utilisateur super-admin invalide

Le mot de passe fourni pour l’utilisateur super administrateur est invalide. Toute opération ultérieure sera restreinte et l’exécution du script sera interrompue. Un mot de passe utilisateur super administrateur valide doit être fourni afin d’exécuter l’opération avec succès.

Pour toute question supplémentaire, veuillez contacter opmanager-support@manageengine.com.