Вход
Имена пользователей нечувствительны к регистру. Пять подряд неверных попыток ввести пароль (число настраивается) блокируют учётную запись на 15 минут; учётную запись, заблокированную администратором, разблокировать может только администратор. Если источники идентификации включены, на странице входа также появляются кнопки «Войти через …» — см. Источники идентификации.
Сессии хранятся на сервере, браузер содержит только сессионный cookie с флагом HttpOnly. Сессия истекает после 30 минут бездействия (настраивается), после чего нужно войти снова.
Профиль
Нажмите на аватар в правом верхнем углу, чтобы открыть свой профиль:
- Основной профиль: изменение отображаемого имени и адреса электронной почты. Имя пользователя и организация, к которой вы относитесь, ведутся администраторами.
- Смена пароля: требуется текущий пароль. После смены все ваши сессии на других устройствах завершаются. Учётные записи, вошедшие через источник идентификации, не видят здесь пункта о смене пароля — паролем управляет источник идентификации.
- Двухфакторная проверка: см. ниже.
- Мои устройства: список браузеров, вошедших под вашей учётной записью; незнакомые сессии можно завершить.
- Последняя активность при входе: последние 10 входов, выходов и неудачных попыток, включая попытки других людей с вашим именем пользователя.
После того как администратор сбросит ваш пароль или ваш пароль истечёт, при следующем входе вас сначала направят на страницу смены пароля; остальные возможности недоступны, пока вы не смените пароль.
Двухфакторная проверка
После включения вход требует — помимо пароля — шестизначный код из приложения-аутентификатора (Google Authenticator, Microsoft Authenticator, 1Password и т. п.).
- В разделе «Двухфакторная проверка» вашего профиля нажмите Настроить аутентификатор.
- Добавьте учётную запись в приложении-аутентификаторе: введите ключ, показанный на странице, либо откройте ссылку otpauth на устройстве, где установлено приложение.
- Введите код из приложения и нажмите Включить.
- Страница покажет 10 кодов восстановления — и только один раз. Сохраните их: если вы потеряете аутентификатор, каждый код восстановления можно использовать один раз вместо кода подтверждения.
После включения можно заново сгенерировать коды восстановления (старые сразу станут недействительными) или отключить двухфакторную проверку; для обеих операций потребуется ввести код подтверждения. Если аутентификатор потерян, а кодов восстановления нет, попросите администратора сбросить двухфакторную проверку вашей учётной записи в разделе Управление пользователями.
Повторное подтверждение для чувствительных операций
Для учётных записей с включённой двухфакторной проверкой следующие операции требуют подтверждения, пройденного не более 10 минут назад (настраивается): ротация ключей подписи, создание клиента или ротация его ключей, создание и отключение тенантов, сброс пароля или двухфакторной проверки другого человека, назначение ролей, изменение авторизации, добавление и изменение источников идентификации, а также согласование запросов доступа.
Если прошло больше времени, консоль показывает диалог «Подтвердите личность»; после ввода кода подтверждения операция автоматически продолжается. Задайте grantforge.security.mfa.required-for-sensitive=true, чтобы у учётных записей, выполняющих эти операции, обязательно была включена двухфакторная проверка.
Активные сессии
В разделе Управление доступом → Активные сессии администраторы видят каждый браузер, вошедший в тенант (учётная запись, IP, браузер, время входа, недавняя активность), и завершают подозрительные сессии. Отключение или блокировка учётной записи, а также сброс пароля немедленно завершают все её сессии.
