Как работают MFA-подключения по персональным сертификатам?

Подключения с помощью MFA удобно использовать, если пользователям требуется быстро переключаться между множеством серверов Linux/Unix. Например, при устранении инцидентов или массовых работах.

Использование паролей или OTP (раз в 30 секунд) замедляет процесс, так как аутентификацию приходится повторять для каждого сервера.

Плюсы использования MFA:

  • Нет задержек из-за OTP.

  • Подключение к десяткам серверов за секунды.

  • Полный контроль через ролевые модели и журналы доступа.

Как это работает

Механизм кэширования MFA позволяет использовать одноразовую аутентификацию для серии подключений через worker-ssh.

  1. Пользователь проходит многофакторную аутентификацию на веб-портале.

  2. Пользователь скачивает архив с артефактом подключения.

  3. Артефакт используется для аутентификации через worker-ssh без повторного ввода пароля или OTP.

  4. Сертификат имеет ограниченный срок действия и привязку к IP-адресу пользователя.

Безопасность

  • Доступ разрешен только к серверам, предусмотренным ролевой моделью.

  • Каждый артефакт уникален для пользователя и генерируется заново при каждом запросе.

  • BI.ZONE PAM Vault SSH CA подписывает сертификаты, обеспечивая доверие со стороны целевых серверов.