Skip to main content
È disponibile una versione più recente di questo prodotto.
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Gestire l'autenticazione a più fattori (MFA)

Collaboratori
PDF

È possibile gestire la funzionalità di autenticazione multifattore (MFA) nel server del servizio di federazione Active Directory (ad FS) e nel server SnapCenter.

Attiva autenticazione a più fattori (MFA)

È possibile attivare la funzionalità MFA per il server SnapCenter utilizzando i comandi PowerShell.

A proposito di questa attività

  • SnapCenter supporta gli accessi basati su SSO quando altre applicazioni sono configurate nello stesso ad FS. In alcune configurazioni di ad FS, SnapCenter potrebbe richiedere l'autenticazione dell'utente per motivi di sicurezza, a seconda della persistenza della sessione di ad FS.

  • Le informazioni relative ai parametri che possono essere utilizzati con il cmdlet e le relative descrizioni possono essere ottenute eseguendo Get-Help command_name. In alternativa, è anche possibile vedere "Guida di riferimento al cmdlet del software SnapCenter".

Prima di iniziare

  • Windows Active Directory Federation Service (ad FS) deve essere attivo e in esecuzione nel rispettivo dominio.

  • È necessario disporre di un servizio di autenticazione multifattore supportato da ad FS, ad esempio Azure MFA, Cisco Duo e così via.

  • L'indicatore di data e ora del server SnapCenter e ad FS deve essere lo stesso indipendentemente dal fuso orario.

  • Procurarsi e configurare il certificato CA autorizzato per il server SnapCenter.

    Il certificato CA è obbligatorio per i seguenti motivi:

    • Garantisce che le comunicazioni ADFS-F5 non si interrangano perché i certificati autofirmati sono univoci a livello di nodo.

    • Garantisce che durante l'upgrade, la riparazione o il disaster recovery (DR) in una configurazione standalone o ad alta disponibilità, il certificato autofirmato non venga ricreato, evitando così la riconfigurazione MFA.

    • Garantisce risoluzioni IP-FQDN.

      Per informazioni sul certificato CA, vedere "Generare il file CSR del certificato CA".

Fasi

  1. Connettersi all'host Active Directory Federation Services (ad FS).

  2. Scaricare il file di metadati della federazione ad FS da "https://<host FQDN>/FederationMetadata/2007-06/FederationMetadata.xml".

  3. Copiare il file scaricato sul server SnapCenter per attivare la funzione MFA.

  4. Accedere al server SnapCenter come utente amministratore di SnapCenter tramite PowerShell.

  5. Utilizzando la sessione PowerShell, generare il file di metadati MFA di SnapCenter utilizzando il cmdlet New-SmMultifactorAuthenticationMetadata -path.

    Il parametro path specifica il percorso per salvare il file di metadati MFA nell'host del server SnapCenter.

  6. Copiare il file generato nell'host ad FS per configurare SnapCenter come entità client.

  7. Attivare MFA per il server SnapCenter utilizzando il Set-SmMultiFactorAuthentication cmdlet.

  8. (Facoltativo) controllare lo stato e le impostazioni della configurazione MFA utilizzando il Get-SmMultiFactorAuthentication cmdlet.

  9. Accedere alla console di gestione Microsoft (MMC) ed effettuare le seguenti operazioni:

    1. Fare clic su file > Aggiungi/Rimuovi Snapin.

    2. Nella finestra Aggiungi o Rimuovi snap-in, selezionare certificati, quindi fare clic su Aggiungi.

    3. Nella finestra dello snap-in certificati, selezionare l'opzione account computer, quindi fare clic su fine.

    4. Fare clic su Directory principale console > certificati – computer locale > personale > certificati.

    5. Fare clic con il pulsante destro del mouse sul certificato CA associato a SnapCenter, quindi selezionare tutte le attività > Gestisci chiavi private.

    6. Nella procedura guidata delle autorizzazioni, attenersi alla seguente procedura:

      1. Fare clic su Aggiungi.

      2. Fare clic su Locations (posizioni) e selezionare l'host desiderato (in cima alla gerarchia).

      3. Fare clic su OK nella finestra a comparsa Locations.

      4. Nel campo Object name (Nome oggetto), immettere ‘IIS_IUSRS’, fare clic su Check Names (Controlla nomi) e fare clic su OK.

        Se il controllo ha esito positivo, fare clic su OK.

  10. Nell'host ad FS, aprire la procedura guidata di gestione di ad FS ed eseguire le seguenti operazioni:

    1. Fare clic con il pulsante destro del mouse su Trust di parte affidabile > Aggiungi Trust di parte affidabile > Start.

    2. Selezionare la seconda opzione, sfogliare il file di metadati MFA di SnapCenter e fare clic su Avanti.

    3. Specificare un nome visualizzato e fare clic su Avanti.

    4. Scegliere un criterio di controllo degli accessi come richiesto e fare clic su Avanti.

    5. Selezionare le impostazioni predefinite nella scheda successiva.

    6. Fare clic su fine.

      SnapCenter si riflette ora come parte di base con il nome visualizzato fornito.

  11. Selezionare il nome ed effettuare le seguenti operazioni:

    1. Fare clic su Edit Claim Issuance Policy (Modifica policy di emissione richieste

    2. Fare clic su Add Rule (Aggiungi regola) e fare clic su Next (Avanti).

    3. Specificare un nome per la regola di richiesta di rimborso.

    4. Selezionare Active Directory come archivio di attributi.

    5. Selezionare l'attributo User-Principal-Name e il tipo di richiesta di rimborso in uscita come Name-ID.

    6. Fare clic su fine.

  12. Eseguire i seguenti comandi PowerShell sul server ADFS.

    Set-AdfsRelyingPartyTrust -TargetName ‘<Display name of relying party >’ -SigningCertificateRevocationCheck None

    Set-AdfsRelyingPartyTrust -TargetName ‘<Display name of relying party >’ -EncryptionCertificateRevocationCheck None

  13. Attenersi alla seguente procedura per confermare che i metadati sono stati importati correttamente.

    1. Fare clic con il pulsante destro del mouse sul trust della parte che si basa e selezionare Proprietà.

    2. Assicurarsi che i campi Endpoint, Identifier e Firma siano compilati.

  14. Chiudere tutte le schede del browser e riaprire un browser per eliminare i cookie di sessione esistenti o attivi, quindi eseguire nuovamente l'accesso.

La funzionalità MFA di SnapCenter può anche essere attivata utilizzando API REST.

Per informazioni sulla risoluzione dei problemi, fare riferimento alla "I tentativi di accesso simultanei in più schede mostrano un errore MFA".

Aggiornare i metadati di ad FS MFA

È necessario aggiornare i metadati MFA di ad FS in SnapCenter ogni volta che si verifica una modifica nel server di ad FS, ad esempio aggiornamento, rinnovo del certificato CA, DR e così via.

Fasi

  1. Scaricare il file di metadati della federazione ad FS da "https://<host FQDN>/FederationMetadata/2007-06/FederationMetadata.xml"

  2. Copiare il file scaricato sul server SnapCenter per aggiornare la configurazione MFA.

  3. Aggiornare i metadati di ad FS in SnapCenter eseguendo il seguente cmdlet:

    Set-SmMultiFactorAuthentication -Path <location of ADFS MFA metadata xml file>

  4. Chiudere tutte le schede del browser e riaprire un browser per eliminare i cookie di sessione esistenti o attivi, quindi eseguire nuovamente l'accesso.

Aggiornare i metadati MFA di SnapCenter

È necessario aggiornare i metadati MFA di SnapCenter in ad FS ogni volta che si verifica una modifica nel server ADFS, ad esempio riparazione, rinnovo del certificato CA, DR e così via.

Fasi

  1. Nell'host ad FS, aprire la procedura guidata di gestione di ad FS ed eseguire le seguenti operazioni:

    1. Fare clic su Trust di parte.

    2. Fare clic con il pulsante destro del mouse sul trust della parte di base creato per SnapCenter e fare clic su Elimina.

      Viene visualizzato il nome definito dall'utente del trust della parte che si basa.

    3. Attivare l'autenticazione a più fattori (MFA).

      Vedere "Abilitare l'autenticazione a più fattori".

  2. Chiudere tutte le schede del browser e riaprire un browser per eliminare i cookie di sessione esistenti o attivi, quindi eseguire nuovamente l'accesso.

Disattiva autenticazione a più fattori (MFA)

Fasi

  1. Disattivare MFA e pulire i file di configurazione creati quando MFA è stato attivato utilizzando il Set-SmMultiFactorAuthentication cmdlet.

  2. Chiudere tutte le schede del browser e riaprire un browser per eliminare i cookie di sessione esistenti o attivi, quindi eseguire nuovamente l'accesso.