Active Directory + Google Authenticator - ADFS o come?

(Modificato per adattarsi alla comprensione degli autori delle risposte - Nuova, nuova, pulita domanda pubblicata qui: Active Directory + Google Authenticator - Supporto nativo in Windows Server? )

Ricerca fatta finora

Esiste un articolo tecnico su come utilizzare l'autenticatore di Google con Active Directory Federated Services (ADFS): https://blogs.technet.microsoft.com/cloudpfe/2014/10/26/using-time-based-one-time -passwords-per-multi-fattore di autenticazione-in-ad-fs-3-0 /

Stranamente, sembra essere un progetto di sviluppo, che richiede un po 'di codice e un proprio DB SQL.

Non stiamo parlando qui di AD FS in particolare. Stiamo cercando, quando ci arrivi, 2FA, pref supportando Google Authenticator RFCs, integrato in AD.

Dobbiamo guardare cosa sta succedendo qui.

AD FS riguarda SAML . Si connetterà ad Active Directory per usarlo come provider di identità SAML. Google ha già la possibilità di agire come fornitore di servizi SAML . Metti insieme i due elementi, in modo che Google si fidi del token SAML del tuo server e accedi a un account Google tramite le credenziali di Active Directory. ¹

Google Authenticator, d'altra parte, funge da fattore di un provider di identità ... di solito per il servizio di Google. Forse ora puoi vedere come non si adatta davvero con AD FS. Quando si utilizza ADFS con Google, non si utilizza più realmente il provider di identità di Google e quando AD FS completa la restituzione a Google, il lato identità è già terminato. Se hai fatto qualcosa, sarebbe configurare Google per richiedere Authenticator come conferma d'identità supplementare oltre (ma separato da) AD FS o altri provider di identità SAML. (Nota: non credo che Google supporti questo, ma dovrebbero).

Ora, ciò non significa che ciò che vuoi fare sia impossibile ... solo che forse non è la soluzione migliore. Sebbene sia utilizzato principalmente con Active Directory, ADFS è anche progettato per funzionare come un servizio SAML più generico; puoi collegarlo ad altri provider di identità diversi da Active Directory e supporta molte opzioni ed estensioni diverse. Uno di questi è la possibilità di creare i propri provider di autenticazione a più fattori. Inoltre, Google Authenticator supporta lo standard TOTP per l'autenticazione a più fattori.

Metti insieme i due e dovrebbe essere possibile (anche se certamente non banale) utilizzare Google Authenticator come provider MuliFactor con AD FS. L'articolo a cui ti sei collegato è una prova del concetto di uno di questi tentativi. Tuttavia, questo non è qualcosa che ADFS fa fuori dalla scatola; spetta a ciascun servizio Multi-Factor creare quel plug-in.

Forse MS potrebbe fornire supporto di prima parte ad alcuni dei grandi fornitori di fattori multipli (se esiste una cosa del genere), ma Google Authenticator è abbastanza nuovo e ADFS 3.0 è abbastanza vecchio che non sarebbe stato possibile farlo questo al momento del rilascio. Inoltre, sarebbe difficile per gli Stati membri mantenerli, quando non hanno alcuna influenza su quando o su quali aggiornamenti potrebbero spingere questi altri fornitori.

Forse quando Windows Server 2016 verrà rilasciato, ADFS aggiornato renderà tutto più semplice. Sembrano aver fatto un po 'di lavoro per un migliore supporto multi-fattore , ma non vedo alcuna nota sull'inclusione dell'autenticatore di un concorrente nella confezione. Al contrario, sembra che vorranno configurare Azure per farlo, e possibilmente fornire un'app iOS / Android / Windows per il proprio concorrente a Authenticator.

Quello che alla fine mi piacerebbe vedere MS consegnare è un generico provider TOTP, dove configuro alcune cose per dire che sto parlando con Google Authenticator, e fa il resto. Forse un giorno. Forse uno sguardo più dettagliato al sistema, una volta che possiamo effettivamente ottenerlo, mostrerà che è lì.

^{1 Per la cronaca, l'ho fatto. Tieni presente che quando esegui il salto, queste informazioni non si applicano all'imap o ad altre app che utilizzano l'account. In altre parole, stai rompendo gran parte dell'account Google. Per evitare ciò, dovrai anche installare e configurare lo Strumento di sincronizzazione password di Google . Con lo strumento, ogni volta che qualcuno modifica la propria password in Active Directory, il controller di dominio invierà a Google un hash della password da utilizzare con queste altre autenticazioni.}

^{Inoltre, questo è tutto o niente per i tuoi utenti. È possibile limitare in base all'indirizzo IP dell'endpoint, ma non in base agli utenti. Quindi, se hai utenti legacy (ad esempio: utenti ex studenti in un college) che non conoscono le credenziali di Active Directory, farli spostare tutti potrebbe essere una sfida. Per questo motivo, attualmente non sto usando AD FS con Google, anche se spero ancora di fare il salto di qualità. Ora abbiamo fatto quel salto.}

Ritengo che la tua domanda non presupponga che sia compito di Microsoft aggiungere il supporto per la soluzione 2FA / MFA di un determinato fornitore. Ma ci sono molti prodotti 2FA / MFA che supportano già Windows e AD perché i fornitori hanno scelto di aggiungere quel supporto. Se Google non ritiene che sia abbastanza importante aggiungere supporto, non è proprio colpa di Microsoft. Le API relative all'autenticazione e all'autorizzazione sono ben documentate e gratuite da usare.

Il post sul blog collegato al codice di esempio che chiunque potrebbe scrivere per aggiungere il supporto TOTP RFC6238 al proprio ambiente AD FS. Il fatto che funzioni con Google Authenticator è solo un effetto collaterale dell'autenticatore che supporta tale RFC. Vorrei anche notare la litania di dichiarazioni di non responsabilità in fondo sul fatto che il codice sia "prova del concetto", "nessuna corretta gestione degli errori" e "non creato pensando alla sicurezza".

In ogni caso, no. Non credo che il supporto di Google Authenticator sarà esplicitamente supportato in Windows Server 2016. Ma non credo che nulla impedisca a Google di aggiungere il proprio supporto su Server 2016 o precedenti.

La risposta, a partire da ottobre 2017:

Usa Duo per abilitare MFA ai sistemi che riportano LDAP su AD

Abbiamo studiato o provato tutto.

• Azure / Microsoft MFA (complesso e dispendioso in termini di installazione, fragile durante il funzionamento)
• Server RADIUS

Anche se non ci piacciono i costi operativi di DUO, per un massimo di 50 utenti, i costi per noi valgono la semplicità di installazione e utilizzo.

L'abbiamo usato molto indietro:

• Dispositivi Cisco ASA per l'accesso VPN

• Sonicwall Remote Access Appliance per l'accesso VPN (con il dispositivo che esegue LDAP anche su AD)

Non siamo a conoscenza di nessun altro approccio che può essere impostato in 2-4 ore e MFA abilita i servizi LDAP che bloccano AD.

Continuiamo a ritenere che AD stesso dovrebbe supportare gli RFC TOTP / HOTP dietro l'autenticatore di Google e siamo profondamente delusi dal fatto che MS non abbia risolto correttamente questo in Windows Server 2016.

Esiste già un plug-in gratuito per l'autenticazione della password One Time con ADFS. Funziona bene con le app di Google o Microsoft Authenticator. Vedi www.securemfa.com per maggiori informazioni. Lo sto usando senza problemi in produzione.