В современном цифровом мире паролей уже недостаточно. Утечки данных, фишинг и простые человеческие ошибки делают учетные записи уязвимыми. Многофакторная аутентификация (MFA) стала стандартом безопасности, добавляя критически важный второй барьер на пути злоумышленников.
PrivacyIDEA — это мощная, гибкая и открытая система для управления двухфакторной аутентификацией. В отличие от проприетарных облачных решений, PrivacyIDEA вы разворачиваете у себя, сохраняя полный контроль над данными и процессами.
В этой статье мы шаг за шагом установим PrivacyIDEA и рассмотрим ее ключевые возможности.
Мы рассмотрим установку на операционную систему Ubuntu Server 20.04. Процесс будет аналогичен и для других дистрибутивов на основе Debian.
Шаг 1: Установка из официального репозитория
Обновите список пакетов и добавьте репозиторий PrivacyIDEA:
sudo apt update wget https://lancelot.netknights.it/NetKnights-Release.asc apt-key add NetKnights-Release.ascadd-apt-repository http://lancelot.netknights.it/community/focal/stable apt update apt install privacyidea-nginx
Шаг 2: Добавление администратора и вход в веб-интерфейс
Добавляем администратора:
pi-manage admin add admin
Далее переходим в web-интерфейс по IP-адресу виртуальной машины (ВМ):
Рисунок 1 – Авторизация в панели управления.
Шаг 3: Первоначальная настройка — пропускаем автоматический мастер
При первом входе система может предложить создать домен из /etc/passwd. Жмем “No”, т.к. как наша цель — интеграция с Active Directory, мы выполним настройку вручную для полного контроля:
Рисунок 2 – Настройка интеграции с Active Director.
Шаг 4: Создаем LDAP Resolver
- Переходим в раздел Конфигурация → Users → Новый ldapresolver.
- Заполняем параметры подключения к контроллеру домена.
Также будет нужна учетная запись, через которую privacyidea будет подгружать пользователей к себе на сервер:
Рисунок 3 – Настройка LADAP Resolver.
Шаг 5: Создаем Домен
Чтобы использовать созданный резолвер, нужно добавить его в домен. Переходим во вкладку Конфигурация → Домены → Создать Домен и указываем:
Название домена: любое понятное имя (например, company-domain).
Резолвер: выбираем из списка созданный нами LDAP-резолвер.
Теперь можно перейти во вкладку Пользователи и убедиться, что система отображает всех пользователей из Active Directory.
Рисунок 4 – Создание домена в LADAP Resolver.
Шаг 6: Функционал и ключевые возможности
Самостоятельная регистрация токенов через User Portal
Одна из мощнейших возможностей PrivacyIDEA — User Portal.Пользователь может зайти под своими учетными данными домена (логин и пароль) и авторизоваться в личном кабинете, сможет самостоятельно зарегистрировать свой токен, не обращаясь к администратору:
Рисунок 5 – Самостоятельная регистрация токенов пользователями.
Процесс регистрации TOTP-токена
- Пользователь заходит на User Portal.
- Выбирает опцию “Зарегистрировать новый токен”.
- Выбирает тип токена TOTP (Time-based One-Time Password) – тот самый 6-значный код, обновляемый каждые 30 секунд, знакомый по Google Authenticator.
- Система показывает QR-код, который пользователь сканирует в приложении-аутентификаторе (Google Authenticator, Microsoft Authenticator, PrivacyIDEA Authenticator и др.).
- Для подтверждения пользователь вводит первый сгенерированный код.
Примечание о PIN-коде: в данной конфигурации для упрощения используется только одноразовый код, без статического PIN-кода.
Рисунок 6 – Регистрация токенов.
Управление токенами администратором
Администратор может создавать, блокировать и управлять токенами для пользователей централизованно через веб-интерфейс. Поддерживаются десятки типов токенов: TOTP, HOTP, Push-уведомления, SMS, Email, аппаратные токены (Yubikey, Feitian) и многие другие.
Заключение
После настройки сервера PrivacyIDEA, необходимо установить и настроить агентов (RADIUS, плагины для SAML/OAuth) на целевых серверах (VPN, шлюзы доступа, веб-приложения). Эти агенты будут направлять запросы аутентификации на ваш сервер PrivacyIDEA, создавая единую и надежную систему контроля доступа.
PrivacyIDEA — это не просто система для двухфакторной аутентификации. Это целая экосистема для централизованного и безопасного управления доступом. Установка из официального репозитория занимает считанные минуты, а гибкость системы позволяет адаптировать ее под любые нужды — от простой защиты TOTP-кодами до сложных сценариев с Push-уведомлениями и аппаратными токенами.
Открытый исходный код, полный контроль над данными и исключительная гибкость делают PrivacyIDEA идеальным выбором для организаций, которые серьезно относятся к безопасности своей информационной инфраструктуры.
