В настоящее время мы используем SimpleSAMLphp для решения SSO в нашем php-приложении с OpenLDAP в качестве источника данных аутентификации, и оно работает нормально.
Теперь нам нужно реализовать 2FA в процессе входа в систему, поэтому я хотел знать, есть ли встроенная поддержка 2FA в OpenLDAP.
Я обнаружил, что SimpleSAMLphp позволяет использовать двухфакторную аутентификацию с использованием модуля PrivacyIDEA, но он использует собственный механизм для генерации и проверки totp, но нам требуется, чтобы все обрабатывалось в SimpleSAMLphp и OpenLDAP. Возможно ли это?
Ответ 1 · рейтинг 2 · cornelinux
privacyIDEA может считывать ваших пользователей и все необходимые атрибуты из OpenLDAP. Вы можете определить сопоставление атрибутов для чтения любых произвольных атрибут из OpenLDAP.
В PrivacyIDEA вы можете определить политику, которая требует от пользователя чтобы ввести пароль LDAP плюс значение OTP.
Затем в simpleSAMLphp вы можете определить источник авторизации как privacyIDEA. Таким образом, вы, пользователь, можете аутентифицироваться с помощью своего пароля LDAP и OTP на IdP. Если вы хотите, вы можете использовать параметр otpextra даже для использования двухшагового диалога, где пользователю сначала нужно ввести свой пароль LDAP, а затем значение OTP.
Используйте сопоставление в модуле SAML privacyIDEA или фильтры authproc для дальнейшего сопоставления ваших атрибутов.
Ответ 2 · рейтинг 1 · Michael Powers
Похоже, что OpenLDAP поддерживает TOTP (чаще всего называемый Google Authenticator) с модулем slapd.
Модуль для OpenLDAP можно найти здесь . Статью с описанием можно найти здесь. Документация к модулю кажется немного легкой, но сам модуль небольшой и довольно читаемый.
Ответ 3 · рейтинг 1 · Michael Ströder
В своем Æ-DIR я использую собственное решение OATH-LDAP, который добавляет данные токена в виде записей LDAP. В настоящее время валидатор поддерживает только HOTP на основе счетчика (см. RFC 4226). Его можно использовать, например. с yubikey, и для этого также доступен сценарий регистрации.
К сожалению, в настоящее время нет доступной документации о том, как использовать автономный OATH-LDAP в произвольной установке OpenLDAP.
Дайте мне знать, если вы хотите покопаться в этом.
