OpenSource 2fa/mfa для RDP/AD RDS?

Question

[mrkotovsk1]

Посоветуйте хорошие проверенные приложения для двухфакторной аутентификации(желательно в виде одноразового пароля с мобильного приложения)
Планируется внедрить для Active Directory(Remote Destop Services)
Желательно на Unix,крайне важно с гибкой настройки(возможно быстро безболезненно отвязать в случае чп от сервера, применять на определенные группы машин/пользователей и прочее, логирование по почте)

Comments

[Кот Абсолютный]

Ага, щазз, кто-то будет тебе писать OSS для насквозь коммерческого продукта :)

[Alexey Dmitriev]

Вы уже знаете, как будете подключать MFA в авторизацию? Механизм вам понятен?

[Роман Безруков]

Посоветуйте хорошие проверенные приложения для двухфакторной аутентификации(желательно в виде одноразового пароля с мобильного приложения)

Google Authenticator, MS Authenticator

Планируется внедрить для Active Directory(Remote Destop Services)

для какого сервиса RDS планируете: RDWeb, RD Gateway, просто RDP или для всех сразу?

Желательно на Uni,крайне важно с гибкой настройки(возможно быстро безболезненно отвязать в случае чп от сервера, применять на определенные группы машин/пользователей и прочее, логирование по почте)

Забесплатно? ХЫХ..."Оригинальный Вы человек!" (с)

[mrkotovsk1]

Роман Безруков, 2fa по крайней мере для подключения по рдп,уверен существуют какие-то сервисы интеграции с ldap/ad

[Alexey Dmitriev]

mrkotovsk1, "уверен" и "какие-то" в одном предложении - не находите, что это диссонирует?
Еще раз прошу ответить на мой вопрос - "Вы уже знаете, как будете подключать MFA в авторизацию? Механизм вам понятен?"

[mrkotovsk1]

Alexey Dmitriev, да

[Роман Безруков]

mrkotovsk1, безусловно - подобные сервисы существуют.
1. Как Вы предоставляете клиентам RDP снаружи?
2. Сервис MFA - Вы за ним будете ходить к стороннему провайдеру (SaaS типа Azure MFA и прочие аналоги) или разворачивать на своей инфраструктуре?
3. Поддержу вопрос Alexey Dmitriev про механизм
4. Какие-то результаты гугления "rdp mfa free" изучали?

[mrkotovsk1]

Роман Безруков,
1)все во внутренней сети либо через VPN
2)на своей
3)изучал, но может кто-то уже использовал проверенные сервисы в боевой среде, поэтому хочу узнать отзывы

[Alexey Dmitriev]

mrkotovsk1, и? какой механизм вы будете использовать?

[Роман Безруков]

mrkotovsk1,

1)все во внутренней сети либо через VPN

а зачем внутри второй фактор? - правами/доступами можно ограничить. Если VPN - тогда второй фактор нужен для сервиса VPN

2)на своей

Тогда возвращаемся к вопросу про "механизм"

[mrkotovsk1]

Роман Безруков, так как пользователи любят логиниться под чужими логинами,2 фактор немного усложнит им жизнь

Answer 1

[mrkotovsk1]

Сервис multiotp(работает как и на винде, так и в linux/docker)