Второй фактор аутентификации (MFA)

Второй фактор аутентификации — опция тарифа Premium, которую Omniscol подключает по запросу. Затем ваше учебное заведение выбирает затронутые роли и допустимые вторые факторы аутентификации.

Включение второго фактора аутентификации

В разделе Администрирование → Параметры, в секции Безопасность, кнопка Настроить в строке Второй фактор аутентификации (MFA) открывает настройки:

• Затронутые роли — роли, учётные записи которых предъявляют второй фактор аутентификации: Администратор, Сотрудник, Преподаватель. Если ни одна роль не выбрана, опция не действует. Ученики никогда не предъявляют второй фактор аутентификации.
• Допустимые вторые факторы аутентификации — что учётная запись может зарегистрировать: Ключ доступа, Приложение для аутентификации или Код по электронной почте. Нужен хотя бы один.
• Запоминать браузер — при предъявлении второго фактора аутентификации предлагает больше не запрашивать его в этом браузере в течение заданного вами числа дней, от 1 до 90. Пароль по-прежнему запрашивается.

Рядом с кнопкой метка показывает, действует ли опция и для каких ролей.

Как только опция сохранена, сеанс учётной записи выбранной роли, открытый без второго фактора аутентификации, прерывается при её следующем действии: человек входит заново и регистрирует свой. Приложения, которым он ранее разрешил доступ (например, ассистент, подключённый через MCP), нужно разрешить заново.

При входе

После пароля учётная запись выбранной роли проходит второй шаг.

Первый вход: регистрация второго фактора аутентификации

При первом входе учётная запись регистрирует второй фактор аутентификации из тех, которые допускает учебное заведение:

• Ключ доступа — кнопка Создать ключ доступа регистрирует ключ доступа на устройстве; затем каждый вход подтверждается отпечатком пальца, лицом или кодом блокировки устройства;
• Приложение для аутентификации — человек сканирует QR-код приложением для аутентификации на своём телефоне, затем вводит шестизначный код, который оно показывает;
• Код по электронной почте — кнопка Получить код по электронной почте отправляет шестизначный код, который действует десять минут, на адрес электронной почты учётной записи. Учётная запись без адреса электронной почты не может его выбрать.

Учётная запись регистрирует только один второй фактор аутентификации и сохраняет его, даже если учебное заведение позже перестанет допускать этот тип.

Администраторы дополнительно получают десять резервных кодов, которые показываются один раз. Каждый из них один раз заменяет второй фактор аутентификации при входе, если устройство потеряно: храните их в надёжном месте.

Последующие входы

Затем при каждом входе запрашивается зарегистрированный второй фактор аутентификации: ключ доступа, код из приложения или код, отправленный по электронной почте, — он уходит автоматически. Администратор может также ввести резервный код.

Если учебное заведение это разрешает, флажок позволяет больше не запрашивать его в этом браузере в течение заданного числа дней. В другом браузере он запрашивается всегда, как и при входе после его сброса.

При едином входе (SSO)

После входа через поставщика удостоверений (OIDC / SSO) тот же шаг отображается на странице входа: второй фактор аутентификации добавляется к единому входу.

Сброс второго фактора аутентификации

Учётная запись, потерявшая второй фактор аутентификации (сменился телефон, удалён ключ доступа), регистрирует новый после сброса:

• для одной учётной записи — кнопка Сбросить второй фактор аутентификации в её развёрнутой строке, рядом с кнопкой Пароль, в списке её роли: Администраторы, Преподаватели или Сотрудники;
• для всех учётных записей — Сбросить второй фактор всех учетных записей внизу настроек второго фактора аутентификации.

Сброс всех учётных записей, как и сброс учётной записи администратора, требует подтвердить вашу личность. Учётная запись регистрирует новый второй фактор аутентификации при следующем входе, а запомненные браузеры забываются. Её уже открытые сеансы продолжаются: чтобы прервать их, отключите учётную запись.

Администратор, потерявший второй фактор аутентификации, входит с резервным кодом, либо другой администратор сбрасывает его. Поддержка Omniscol может сбросить второй фактор аутентификации последнего администратора.

Полезно знать

• Код по электронной почте — самый слабый второй фактор аутентификации: сброс пароля идёт через тот же почтовый ящик. Для более надёжной защиты допускайте только ключ доступа и приложение для аутентификации.
• Ключ доступа привязан к адресу учебного заведения, на котором он был создан: с другого адреса он не работает.