2 posts tagués avec "MFA"

Nginx open-source ne dispose pas de module CAS, donc « authentification CAS pour nginx » signifie en pratique l'une des deux configurations suivantes. Soit nginx interroge un service d'authentification pour chaque requête via son module auth_request, et Casdoor répond (directement sur /api/forward-auth, ou via casdoor-forward-auth ou OAuth2 Proxy), soit l'application derrière nginx est elle-même un client CAS et communique avec les endpoints du serveur CAS de Casdoor. Si vous pouvez recompiler nginx, le module nginx de Casdoor exécute la connexion à l'intérieur de nginx, et si vous préférez ne pas utiliser nginx, le proxy de site de Casdoor peut se placer devant l'application. Dans tous les cas, la page de connexion est celle de Casdoor, de sorte qu'une seule session SSO, un seul jeu d'autorisations et une seule politique MFA couvrent toutes les applications.

Pour placer l'authentification multifacteur devant un VPN avec RADIUS, la passerelle VPN envoie le nom d'utilisateur et le mot de passe au serveur RADIUS via PAP, le serveur vérifie le mot de passe et répond avec un Access-Challenge, le client affiche une invite, et l'utilisateur saisit le code 2FA d'une application d'authentificateur dans une seconde requête. Casdoor fournit un serveur RADIUS qui fait exactement cela pour les utilisateurs ayant configuré TOTP, afin qu'une passerelle capable d'afficher une invite Access-Challenge (FortiGate SSL VPN est celle dont le fournisseur documente cette fonctionnalité) obtienne un mot de passe plus un code 2FA sans logiciel supplémentaire. Le Wi-Fi avec WPA2/WPA3-Enterprise est différent : 802.1X s'exécute sur EAP, qui n'a pas de place pour un code saisi, donc Casdoor dispose d'une option pour ignorer le code pour ces clients.