Двухэтапная проверка

После пароля вход может запросить 6-значный код. Код либо приходит на ваш адрес электронной почты, либо показывается приложением-аутентификатором. Это и есть двухэтапная проверка, которую также называют вторым фактором входа. Эта страница рассказывает о настройке для сотрудника, о политике для администратора и о помощи сотруднику, потерявшему устройство.

Резервный код подходит вместо кода любого вида. Двухэтапная проверка действует при входе через веб и на странице входа, которую показывает приложение, когда просит подключиться к вашему аккаунту. Она входит в каждую организацию и лицензии не требует.

Где её найти

Откройте Аккаунт и оставайтесь на вкладке Профиль. Блок Двухэтапная проверка показывает состояние:

Состояние Что значит

Включена

Вы включили двухэтапную проверку.

Выключена

При входе запрашивается только пароль.

Требуется вашей организацией

Политика организации требует её от вас. Выключить её нельзя.

Любое изменение вашей собственной двухэтапной проверки требует входа через веб. Скрипт с токеном доступа внести такое изменение не может.

Включение с кодами из письма

  1. В блоке Двухэтапная проверка нажмите Включить.

  2. В диалоге Включить двухэтапную проверку нажмите Отправить код. Код приходит на частично скрытый адрес электронной почты вашего аккаунта.

  3. Введите код в поле Код подтверждения и нажмите Включить.

Пока код не подтверждён, ничего не меняется, поэтому опечатка в адресе не заблокирует вам доступ. Затем страница показывает Двухэтапная проверка включена. После нескольких неверных кодов попытка завершается, и нужно запросить новый код.

О кодах из письма

Правило Значение

Длина и срок действия

6 цифр, действует 10 минут. Новый код заменяет предыдущий.

Как часто

Несколько кодов в час с короткой паузой между двумя кодами.

Сверх лимита

При входе: Запрошено слишком много кодов. Повторите попытку через N мин. В профиле: Слишком много запросов. Повторите попытку через N мин.

Письмо при входе

Тема Код для входа. Текст Ваш код для входа: <code>. Он действителен 10 мин. Если вы не пытались войти, смените пароль.

Письмо при включении

Тема Подтверждение двухэтапной проверки. Текст Ваш код подтверждения: <code>. Он действует 10 мин. Если вы не включали двухэтапную проверку, смените пароль.

Письма отправляются на языке аккаунта.

Выключение

Нажмите Выключить в блоке, введите текущий пароль и подтвердите кнопкой Выключить. Пока политика организации требует от вас двухэтапную проверку, кнопки нет. При выключении резервные коды и приложение-аутентификатор сохраняются.

Приложение-аутентификатор

Блок Приложение-аутентификатор показывает Не настроено или Настроено <date>. Настроить приложение можно, пока двухэтапная проверка выключена, потому что подтверждение первого приложения её включает.

  1. Нажмите Настроить, введите текущий пароль и нажмите Продолжить.

  2. Откройте приложение-аутентификатор и отсканируйте QR-код. Если отсканировать не получается, введите в приложение Ключ настройки. Ключ показан группами по 4 символа.

  3. Введите 6-значный код, который показывает приложение, в поле Код из приложения и нажмите Подтвердить.

QR-код и ключ настройки показываются один раз. Настройка остаётся открытой несколько минут и завершается после нескольких неверных кодов.

Подойдёт любое приложение, которое следует стандарту TOTP (RFC 6238). В диалоге названы Google Authenticator, Microsoft Authenticator и Aegis. В приложении запись выглядит как CityScreen Deals:<username>. Коды меняются каждые 30 секунд, и каждый код действует один раз.

Подтверждение первого приложения включает двухэтапную проверку и выбирает приложение как вид кода для входа, если вы ещё не выбирали вид.

Заменить настраивает новое приложение и оставляет старое рабочим, пока новое не подтверждено. Удалить запрашивает текущий пароль и перестаёт принимать коды приложения; после этого при входе запрашивается код, отправленный на ваш адрес электронной почты. Приложение можно удалить, даже если политика организации требует двухэтапную проверку.

Коды для входа

Когда приложение настроено и двухэтапная проверка включена, в профиле появляется поле Коды для входа, которое задаёт вид кода, запрашиваемого при входе.

При входе запрашивается код, отправленный на адрес электронной почты сотрудника, код из приложения-аутентификатора или любой из двух. Резервный код подходит всегда.

Варианты: Код из письма, Код из приложения-аутентификатора и Любой: из письма или из приложения. Выбор сохраняется сразу и пароля не требует. Таблица показывает, что запрашивает вход:

Ваш выбор Приложение настроено Что запрашивает вход

Код из письма

любое

Код из письма.

Код из приложения-аутентификатора

да

Только код из приложения.

Любой: из письма или из приложения

да

Код из приложения, со ссылкой Отправить код на e-mail вместо этого.

Код из приложения-аутентификатора или Любой: из письма или из приложения

нет

Код из письма.

Выбор не сделан

любое

Код из письма.

Администратор может выбрать вид кода для сотрудника, как описано в разделе Помощь сотруднику.

Резервные коды

Блок Резервные коды появляется, пока двухэтапная проверка включена или обязательна. Он показывает осталось <n>, созданы <date> или Резервных кодов пока нет.

Создать резервные коды создаёт 10 одноразовых кодов вида XXXXX-XXXXX. Коды показываются один раз, а новый набор заменяет старый.

  1. Нажмите Создать резервные коды.

  2. Введите текущий пароль и нажмите Создать.

  3. Диалог Ваши резервные коды показывает 10 кодов. Нажмите Скачать .txt, чтобы сохранить их в файл backup-codes.txt, затем нажмите Коды сохранены.

Диалог закрывается только кнопкой Коды сохранены; Esc и щелчок вне диалога его не закрывают, потому что показать коды снова никто не сможет. Каждый код действует один раз, а коды прежнего набора перестают работать, когда вы создаёте новый. Когда вы вводите код, регистр, пробелы и дефисы не имеют значения.

Политика организации

Администраторы решают в разделе Настройки > Общие, в поле Двухэтапная проверка, от кого организация её требует.

Администратор задаёт политику Не требуется, Обязательна для всех или Обязательна для выбранных ролей. Сотруднику, от которого она требуется, настраивать ничего не нужно, потому что при следующем входе запрашивается код, отправленный на его адрес электронной почты.

Вариант Действие

Не требуется

Вариант по умолчанию. Каждый сотрудник всё равно может включить двухэтапную проверку в своём профиле.

Обязательна для всех

Двухэтапная проверка действует для каждого сотрудника.

Обязательна для выбранных ролей

Добавляет поле Роли, где нужно выбрать хотя бы одну роль. Двухэтапная проверка действует для каждого сотрудника, у которого есть одна из этих ролей.

Роль засчитывается, если сотрудник получил её через участие в группе, то есть когда роль назначена сотруднику в этой группе. Роль по умолчанию, которую задаёт тип группы, не засчитывается. Главный администратор подпадает под вариант Обязательна для выбранных ролей, только если у него есть одна из этих ролей.

Изменение политики никого не выводит из системы. Сотрудники, от которых проверка теперь требуется, видят состояние Требуется вашей организацией и не могут её выключить. Чтобы сохранить настройку, нужно право на редактирование настроек организации. Остальные поля страницы описаны в разделе Настройки организации.

Помощь сотруднику

Администратор открывает Сотрудники, затем нужного сотрудника и находит блок Двухэтапная проверка. В вашей собственной записи блока нет. Он показывает состояние Включена, Требуется или Выключена.

Действие Результат

Удалить приложение

Появляется, когда у сотрудника есть приложение. При следующем входе сотрудника запрашивается код, отправленный на его адрес электронной почты, пока он снова не настроит приложение. Это действие для потерянного телефона.

Удалить резервные коды

Появляется, когда у сотрудника есть набор кодов. Коды перестают работать, а сотрудник может создать новый набор в своём профиле.

Коды для входа

Выбирает вид кода для сотрудника: Код из письма, Код из приложения-аутентификатора или Любой: из письма или из приложения. Если выбрано приложение, а сотрудник его не настроил, при входе запрашивается код из письма, пока он не настроит приложение.

Ни одно из этих действий не запрашивает пароль, поэтому, прежде чем действовать по просьбе, пришедшей по телефону, электронной почте или в чате, убедитесь, что просьба исходит от самого сотрудника — например, перезвоните ему по номеру, который уже есть в записях. Двухэтапную проверку включает и выключает, а резервные коды создаёт сам сотрудник в своём профиле.

Блок контролируют два права в редакторе ролей, каждое на уровне группы или организации:

  • Сброс двухэтапной проверки (группа) и Сброс двухэтапной проверки (все) удаляют аутентификатор и резервные коды.

  • Выбор способов двухэтапной проверки (группа) и Выбор способов двухэтапной проверки (все) выбирают вид кода.

С правом на группу администратор управляет только сотрудниками из своих групп. Для любого другого сотрудника он видит Двухэтапной проверкой можно управлять только у сотрудников из ваших групп, а этот сотрудник в них не входит. Тем, у кого есть любое из этих прав, в списке сотрудников также доступна колонка Двухэтапная проверка. Роли описаны в разделе Роли и права.

Почтовые клиенты

Сотрудник, у которого включена двухэтапная проверка, не может войти в почтовый клиент или другую программу по LDAP с паролем учётной записи. Такой программе нужен пароль приложения. Пароли приложений создаются на вкладке Пароли приложений вашего аккаунта. Эта функция лицензируется. Если лицензия вашей организации её не включает, обратитесь в CityScreen. См. Токены доступа и пароли приложений и LDAP-справочник.

Отключённые учётные записи

Отключение сотрудника удаляет его резервные коды и приложение-аутентификатор. После повторной активации учётной записи при входе запрашивается код из письма, пока сотрудник не настроит приложение, а новый набор резервных кодов сотрудник создаёт сам.

Связанные страницы