Защита пароля администратора

В версии 5.8.4 на сервере можно включить и настроить усиленную защиту пароля администратора. По умолчанию для коммерческих пользователей механизм выключен. Защита включается в конфигурационном файле сервера.

Защита повышает безопасность доступа к системе через первый фактор.

Предупреждение

По умолчанию механизм защиты пароля выключен. Для его работы включите параметры, задав значения отличные от 0.

Параметры защиты

Все параметры задаются в конфигурации и по умолчанию отключены, кроме уведомления о смене пароля. Откройте файл и измените параметры:

sudo nano /etc/staffcop/config

Ниже приведено назначение каждого параметра.

Параметр

Назначение

Значение по умолчанию

AUTH_ATTEMPTS_TO_BLOCK

Блокировка УЗ при нескольких неуспешных подряд логинах
(0 = откл.)

0

AUTH_BLOCK_TIMEOUT_MINUTES

Авторазблокировка по тайм-ауту в минутах
(0 = перманентный бан со сменой пароля главным админом)

0

AUTH_MIN_PASSWORD_LENGTH

Минимально допустимая длина пароля
(0 = откл. валидации)

0

AUTH_PASSWORD_FORCE_CHANGE_DAYS

Принудительная ротация паролей в днях
(0 = откл. ротации)

0

AUTH_UNIQUE_PASSWORD_CHECK_DEPTH

Запрет использования старых паролей — глубина проверки
(0 = не запрещать)

0

AUTH_PASSWORD_FORCE_CHANGE_DAYS_NOTIFICATION

За сколько дней до даты смены пароля начинать оповещать
(0 = не оповещать)

5

Настройка блокировки учетной записи

Параметры AUTH_ATTEMPTS_TO_BLOCK и AUTH_BLOCK_TIMEOUT_MINUTES отвечают за блокировку учетной записи при неуспешных попытках входа и ее авторазблокировку. Чтобы они заработали, недостаточно задать их значения. Нужно включить соответствующий бэкенд в списке AUTHENTICATION_BACKENDS в файле /etc/staffcop/config:

AUTHENTICATION_BACKENDS = (
    'accounts.backends.Radius2FABackend',  # раскомментировать для реализации 2FA через Radius
    'accounts.backends.LockedUserBackend',
    'active_directory.backend.SimpleBackend'
)

Бэкенд LockedUserBackend обрабатывает блокировку и авторазблокировку учетных записей. Б ез его добавления в список настройки AUTH_ATTEMPTS_TO_BLOCK и AUTH_BLOCK_TIMEOUT_MINUTES не будут применяться.

Параметры AUTH_MIN_PASSWORD_LENGTH, AUTH_PASSWORD_FORCE_CHANGE_DAYS, AUTH_UNIQUE_PASSWORD_CHECK_DEPTH и AUTH_PASSWORD_FORCE_CHANGE_DAYS_NOTIFICATION дополнительных изменений конфигурации не требуют, достаточно задать их значения.