Вхід і безпека

Паролі

Правила для паролів фіксовані й діють для всіх:

• Щонайменше 8 символів. Рекомендуємо довгі парольні фрази.
• Жодних скомпрометованих паролів: паролі, знайдені у відомих витоках даних, відхиляються.
• Не можна повторно використовувати жоден з останніх 12 паролів.
• Блокування: після 5 невдалих спроб обліковий запис блокується на 15 хвилин. Сторінка входу показує однакове повідомлення Неправильна електронна адреса або пароль для неправильного пароля, невідомої адреси та заблокованого облікового запису, тож не розкриває, які облікові записи існують.

Користувачі самі скидають пароль за допомогою посилання Забули пароль? на сторінці входу.

Багатофакторна автентифікація (MFA)

Користувачі можуть самі ввімкнути MFA в налаштуваннях свого профілю. Щоб зробити її обов’язковою для всіх, перейдіть у Налаштування тенанта → Безпека й увімкніть Примусова MFA для всіх користувачів:

• Ті, хто має застосунок-автентифікатор, продовжують ним користуватися.
• Усі інші під час входу отримують код підтвердження електронною поштою.
• Поки MFA обов’язкова, користувачі не можуть її вимкнути.

Фільтрація за IP-адресами

Налаштування тенанта → Безпека → Фільтрація за IP-адресами обмежує доступ мережами, які ви вкажете: окремими адресами IPv4 чи IPv6 або діапазонами CIDR, до 50 записів, кожен із підписом.

Небезпечно

Спочатку додайте власну адресу (Моя IP). Якщо ви заблокуєте собі доступ, відновити його зможе лише служба підтримки RansomLeak.

Спроби з інших адрес відхиляються й записуються в Події безпеки.

Єдиний вхід (SAML)

Дозвольте людям входити через Okta, Microsoft Entra ID, Google Workspace або будь-якого іншого постачальника ідентифікації SAML 2.0. Вам потрібен дозвіл Керування безпекою.

1. Відкрийте Налаштування тенанта → SAML SSO.
2. У розділі Дані постачальника послуг (SP) скопіюйте Entity ID / Аудиторія, URL ACS (Reply URL) та URL метаданих у новий SAML-застосунок у вашому постачальнику ідентифікації.
3. Скопіюйте з вашого постачальника ідентифікації в розділ Налаштувати SAML SSO:
   • Entity ID постачальника ідентифікації
   • URL SSO постачальника ідентифікації (має бути HTTPS)
   • Сертифікат підпису (X.509) у форматі PEM. Твердження (assertions) мають бути підписані за допомогою SHA-256.
   • URL єдиного виходу (необов’язково)
4. Увімкніть Увімкнути SAML SSO і збережіть.

Вимагати SSO (вимкнути вхід за паролем) робить SSO єдиним способом входу. Break-glass адміністратори можуть і далі входити за паролем на випадок збою у вашого постачальника ідентифікації. Адміністратора, який вмикає SSO, буде додано автоматично.

Власний домен. Активація власного домену не змінює дані постачальника послуг уже налаштованого SSO, тож ваш постачальник ідентифікації і далі працює. Щоб перенести SSO на власний домен, відкрийте Налаштування тенанта → SAML SSO: панель Використовувати ваш-домен для SSO показує нові Entity ID та URL ACS.

1. Додайте нові значення у ваш постачальник ідентифікації поряд із поточними (Microsoft Entra ID та Okta приймають кілька значень).
2. Натисніть Перемкнути SSO на ваш-домен. Вхід одразу почне використовувати нові значення, тож якщо ваш постачальник ідентифікації їх ще не має, вхід через SSO не працюватиме, доки ви їх не додасте.
3. Перевірте вхід на власному домені, а потім видаліть старі значення з постачальника ідентифікації.

Після перемикання користувачі залишаються на власному домені впродовж усього входу.

Що відбувається під час входу:

• Хто входить через SSO вперше, отримує обліковий запис із роллю за замовчуванням.
• Вимкнені користувачі не можуть увійти, навіть через SSO.

Усунення несправностей

Помилка «Invalid signature» майже завжди означає, що сертифікат у RansomLeak не збігається з тим, яким підписує ваш постачальник ідентифікації. Скопіюйте його ще раз, наприклад після того, як постачальник змінив свій сертифікат.

Щоб створювати й деактивувати облікові записи ще до входу, додайте провізіонування через SCIM.