Active Directory + Google Authenticator - AD FS หรืออย่างไร

(แก้ไขเพื่อให้ตรงกับความเข้าใจในคำตอบของผู้เขียน - คำถามใหม่สะอาดและใหม่โพสต์ที่นี่: Active Directory + Google Authenticator - รองรับ Native ใน Windows Server หรือไม่ )

การวิจัยเสร็จสิ้นแล้ว

มีบทความด้านเทคนิคเกี่ยวกับวิธีใช้ Google authenticator พร้อม Active Directory Federated Services (AD FS): https://blogs.technet.microsoft.com/cloudpfe/2014/10/26/using-time-based-one-time -passwords สำหรับหลายปัจจัยรับรองความถูกต้องในการโฆษณา FS-3-0 /

ดูเหมือนว่าจะเป็นโครงการ dev ที่ต้องใช้รหัสและ SQL DB ของตัวเอง

เราไม่ได้พูดถึง AD FS ที่นี่โดยเฉพาะ เรากำลังมองหาเมื่อคุณไปถึงสำหรับ 2FA การสนับสนุน RFC ของ Google Authenticator pref ในตัวโฆษณา

เราต้องดูว่าเกิดอะไรขึ้นที่นี่

โฆษณา FS เป็นข้อมูลเกี่ยวกับSAML มันจะเชื่อมต่อกับ Active Directory เพื่อใช้เป็น SAML Identity Provider Google มีความสามารถในการทำหน้าที่เป็นผู้ให้บริการ SAMLแล้ว รวมทั้งสองอย่างเข้าด้วยกันดังนั้น Google จะเชื่อถือโทเค็น SAML ของเซิร์ฟเวอร์ของคุณและคุณลงชื่อเข้าใช้บัญชี Google ผ่านข้อมูลประจำตัว Active Directory ¹

ในขณะที่ Google Authenticator นั้นทำหน้าที่เป็นปัจจัยหนึ่งของผู้ให้บริการข้อมูลประจำตัว ... โดยปกติจะเป็นบริการของ Google บางทีคุณสามารถดูได้ในตอนนี้ว่ามันไม่เข้ากับ AD FS ได้อย่างไร เมื่อใช้ AD FS กับ Google คุณจะไม่ได้ใช้ผู้ให้บริการข้อมูลประจำตัวของ Google อีกต่อไปและเมื่อถึงเวลาที่โฆษณา FS จะส่งมอบมือให้กับ Google เสร็จสิ้นด้านที่เป็นตัวตนก็เสร็จเรียบร้อยแล้ว หากคุณทำสิ่งใดสิ่งนี้จะเป็นการกำหนดค่าให้ Google กำหนดให้ต้องใช้ Authenticator เป็นการยืนยันตัวตนเสริมด้านบน (แต่แยกจาก) AD FS หรือผู้ให้บริการข้อมูลประจำตัว SAML อื่น ๆ (หมายเหตุ: ฉันไม่คิดว่า Google จะสนับสนุนสิ่งนี้ แต่ควรจะทำได้)

ตอนนี้ไม่ได้หมายความว่าสิ่งที่คุณต้องการจะเป็นไปไม่ได้ ... แค่ว่ามันอาจจะไม่เหมาะสมที่สุด แม้ว่ามันจะใช้กับ Active Directory เป็นหลัก แต่ AD FS นั้นก็ถูกออกแบบมาให้ทำงานเป็นบริการ SAML ทั่วไป คุณสามารถเชื่อมต่อกับผู้ให้บริการเอกลักษณ์อื่น ๆ กว่า Active Directory และรองรับตัวเลือกและส่วนขยายที่แตกต่างกันมากมาย หนึ่งในนั้นคือความสามารถในการสร้างผู้ให้บริการการพิสูจน์ตัวตนแบบหลายปัจจัยของคุณเอง นอกจากนี้ Google Authenticator รองรับมาตรฐาน TOTPสำหรับการตรวจสอบสิทธิ์ด้วยหลายปัจจัย

รวบรวมทั้งสองอย่างเข้าด้วยกันและควรเป็นไปได้ (แม้ว่าจะไม่ใช่เรื่องเล็กน้อย) เพื่อใช้ Google Authenticator เป็นผู้ให้บริการ MuliFactor ด้วย AD FS บทความที่คุณเชื่อมโยงไปนี้เป็นข้อพิสูจน์ถึงแนวคิดของความพยายามดังกล่าว อย่างไรก็ตามนี่ไม่ใช่สิ่งที่ AD FS ทำขึ้นนอกกรอบ มันขึ้นอยู่กับแต่ละบริการ Multi-Factor เพื่อสร้างปลั๊กอินนั้น

บางที MS อาจให้การสนับสนุนบุคคลที่หนึ่งสำหรับผู้ให้บริการ mutli-factor ขนาดใหญ่จำนวนหนึ่ง (ถ้ามีสิ่งนั้น) แต่ Google Authenticator นั้นใหม่พอและ AD FS 3.0 นั้นเก่าพอที่จะทำได้ ในเวลาที่ปล่อย นอกจากนี้มันจะเป็นเรื่องยากสำหรับ MS ที่จะรักษาสิ่งเหล่านี้เมื่อพวกเขาไม่มีผลต่อเวลาหรือสิ่งที่ผู้ให้บริการรายอื่น ๆ เหล่านี้อาจผลักดัน

อาจเป็นเมื่อ Windows Server 2016 ออกจากโฆษณา FS ที่อัปเดตแล้วจะทำให้ง่ายขึ้น ดูเหมือนว่าพวกเขาจะทำงานเพื่อสนับสนุนหลายปัจจัยที่ดีกว่าแต่ฉันไม่เห็นบันทึกใด ๆ เกี่ยวกับการรวมตัวตรวจสอบสิทธิ์ของคู่แข่งในกล่อง แต่ดูเหมือนว่าพวกเขาต้องการให้คุณตั้งค่า Azure ให้ทำเช่นนี้และอาจมอบแอป iOS / Android / Windows ให้กับคู่แข่งของพวกเขาให้กับ Authenticator

สิ่งที่ฉันต้องการเห็นในที่สุด MS ส่งมอบเป็นผู้ให้บริการ TOTP ทั่วไปโดยที่ฉันกำหนดค่าบางสิ่งเพื่อบอกว่าฉันกำลังพูดคุยกับ Google Authenticator และดำเนินการในส่วนที่เหลือ บางทีสักวันหนึ่ง. อาจดูรายละเอียดเพิ่มเติมที่ระบบเมื่อเราได้รับมันจริงจะแสดงว่ามีในนั้น

^{1สำหรับบันทึกฉันได้ทำสิ่งนี้แล้ว โปรดทราบว่าเมื่อคุณทำการกระโดดข้อมูลนี้จะไม่นำไปใช้กับ imapหรือแอปอื่น ๆ ที่ใช้บัญชี อีกนัยหนึ่งก็คือคุณกำลังทำลายส่วนใหญ่ของบัญชี Google เพื่อหลีกเลี่ยงปัญหานี้คุณจะต้องติดตั้งและกำหนดค่าเครื่องมือซิงค์รหัสผ่านของ Googleด้วย ด้วยเครื่องมือนี้ทุกครั้งที่มีคนเปลี่ยนรหัสผ่านใน Active Directory ผู้ควบคุมโดเมนของคุณจะส่งรหัสแฮชของรหัสผ่านไปยัง Google เพื่อใช้กับการตรวจสอบสิทธิ์อื่น ๆ เหล่านี้}

^{นอกจากนี้ทั้งหมดหรือไม่มีสิ่งใดสำหรับผู้ใช้ของคุณ คุณสามารถ จำกัด ตามที่อยู่ IP ของจุดปลาย แต่ไม่ได้อิงตามผู้ใช้ ดังนั้นหากคุณมีผู้ใช้แบบดั้งเดิม (ตัวอย่างเช่น: ผู้ใช้ศิษย์เก่าที่วิทยาลัย) ซึ่งไม่ทราบข้อมูลประจำตัวของ Active Directory การทำให้พวกเขาย้ายทั้งหมดอาจเป็นเรื่องที่ท้าทาย ด้วยเหตุนี้ฉันจึงไม่ได้ใช้ AD FS กับ Google แม้ว่าฉันจะยังหวังที่จะก้าวกระโดดในที่สุด ตอนนี้เราได้กระโดด}

ฉันคิดว่าคำถามของคุณทำให้สมมติฐานไม่ถูกต้องว่าเป็นหน้าที่ของ Microsoft ในการเพิ่มการสนับสนุนสำหรับโซลูชัน 2FA / MFA ของผู้จำหน่ายเฉพาะราย แต่มีผลิตภัณฑ์ 2FA / MFA มากมายที่รองรับ Windows และ AD อยู่แล้วเนื่องจากผู้ขายเลือกที่จะเพิ่มการสนับสนุนนั้น ถ้า Google ไม่คิดว่ามันสำคัญพอที่จะเพิ่มการสนับสนุนนั่นไม่ใช่ความผิดของ Microsoft จริงๆ การรับรองความถูกต้องและการอนุญาต API ที่เกี่ยวข้องนั้นได้รับการบันทึกไว้อย่างดีและมีอิสระในการใช้งาน

บล็อกโพสต์ที่คุณเชื่อมโยงกับโค้ดตัวอย่างที่ทุกคนสามารถเขียนเพื่อเพิ่มRFC6238 TOTP รองรับสภาพแวดล้อม AD FS ของตนเอง การทำงานกับ Google Authenticator นั้นเป็นเพียงผลข้างเคียงของการรับรองความถูกต้องที่รองรับ RFC ฉันยังจะบันทึกบทสวดของผู้ปฏิเสธความรับผิดชอบที่ด้านล่างเกี่ยวกับรหัสว่า "พิสูจน์แนวคิด", "ไม่มีการจัดการข้อผิดพลาดที่เหมาะสม" และ "ไม่ได้สร้างขึ้นด้วยความปลอดภัยในใจ"

ไม่ว่าในกรณีใด ๆ ฉันไม่เชื่อว่าการสนับสนุนของ Google Authenticator จะได้รับการสนับสนุนอย่างชัดเจนใน Windows Server 2016 แต่ฉันไม่คิดว่าจะมีสิ่งใดที่ทำให้ Google ไม่สามารถเพิ่มการสนับสนุนตัวเองใน Server 2016 หรือเก่ากว่า

คำตอบ ณ ตุลาคม 2560:

ใช้Duoกับ MFA เปิดใช้งานระบบที่ทำ LDAP กลับไปที่ AD

เราได้ทำการวิจัยหรือทดลองใช้ทุกอย่างแล้ว

• Azure / Microsoft MFA (ซับซ้อนและเสียเวลาในการตั้งค่าเปราะบางในการทำงาน)
• เซิร์ฟเวอร์ RADIUS

ในขณะที่เราไม่ชอบค่าใช้จ่ายในการดำเนินงานของ DUO สำหรับผู้ใช้มากถึง 50 คนค่าใช้จ่ายสำหรับเรานั้นคุ้มค่ากับความเรียบง่ายในการตั้งค่าและใช้งาน

เราได้ใช้มันจนถึงตอนนี้:

• อุปกรณ์ Cisco ASA สำหรับการเข้าถึง VPN

• Sonicwall Remote Access Appliance สำหรับการเข้าถึง VPN (ด้วยอุปกรณ์ที่ใช้ LDAP กับ AD ด้วย)

เราไม่ทราบวิธีการอื่นใดที่สามารถตั้งค่าได้ใน 2-4 ชั่วโมงและ MFA เปิดใช้งานบริการ LDAP ที่แฮงเอาท์โฆษณา

เรายังคงเชื่อว่าโฆษณานั้นควรสนับสนุน TOTP / HOTP RFC ของผู้ตรวจสอบสิทธิ์ Google ด้านหลังและผิดหวังอย่างยิ่งที่ MS ไม่ได้แก้ไขปัญหานี้อย่างถูกต้องใน Windows Server 2016

มีการเตรียมปลั๊กฟรีสำหรับการตรวจสอบรหัสผ่านครั้งเดียวด้วย ADFS ใช้งานได้ดีกับแอพ google หรือ microsoft authenticator ดู www.securemfa.com สำหรับข้อมูลเพิ่มเติม ฉันใช้มันโดยไม่มีปัญหาในการผลิต