Jak włączyć dostęp Just‑in‑Time (JIT) do kont współdzielonych w platformie Rublon MFA

Poniższe instrukcje są przeznaczone na wypadek sytuacji, gdy kilka osób musi dzielić się tymi samymi podstawowymi danymi uwierzytelniającymi (nazwa użytkownika + hasło), a Ty chcesz, aby mogły uzyskać dostęp tylko wtedy, gdy jest to konieczne.

Opcja #1: Indywidualne uwierzytelniacze dla każdej uprawnionej osoby

To podejście gwarantuje, że każda osoba współdzieląca konto ma własny, odrębny uwierzytelniacz, dzięki czemu możliwe jest usunięcie pojedynczego urządzenia bez wpływu na pozostałe.

1. Dodaj współdzielone konto użytkownika w platformie Rublon MFA w jeden z następujących sposobów:

• Dodaj konto ręcznie, zachowując identyczną nazwę użytkownika jak w zewnętrznej usłudze katalogowej.

• Zsynchronizuj konto z zewnętrznego katalogu, np. Active Directory lub Entra ID.

• Upewnij się, że w konsoli Rublon Admin Console ustawiono opcję Enrollment Type (Typ rejestracji) na Automatic (Automatyczna) i użyj danych uwierzytelniających współdzielonego konta, aby zalogować się do aplikacji zintegrowanej z usługą Rublon.

2. Zarejestruj uwierzytelniacze dla tego konta:

• Wyślij E-mail rejestracyjny do każdej osoby, która będzie korzystać z konta. Zmień wartość pola Email Address (Adres e-mail) przed wysłaniem każdego E-maila rejestracyjnego, aby upewnić się, że wszyscy otrzymają wiadomość w swojej skrzynce pocztowej i zarejestrują swój uwierzytelniacz, otwierając link w wiadomości e-mail.

3. Ustaw status konta na Denied (Odrzucany), aby każda próba logowania zatrzymywała się na etapie hasła z komunikatem Access Denied!.

• Aby przyznać tymczasowy dostęp, zmień status na Active (Aktywny) tuż przed rozpoczęciem okna serwisowego, zmiany roboczej lub sesji ad hoc. Użytkownicy logują się wspólną nazwą/hasłem i przechodzą przez uwierzytelnianie MFA przy użyciu własnego zarejestrowanego uwierzytelniacza.

• Po zakończeniu pracy przełącz konto z powrotem na status Denied (Odrzucany). Dzięki temu podejściu zmieniasz jedynie flagę statusu; ponowna rejestracja nie jest wymagana, a dzienniki jasno pokazują, kto uwierzytelnił się za pomocą którego urządzenia. 

Opcja #2: Nadzorowane MFA (JIT oparte na zatwierdzeniu)

Czasami chcesz, by logowanie wykonywał Operator A, natomiast potwierdzenie MFA pochodziło od Nadzorcy B:

1. Dodaj współdzielone konto użytkownika w platformie Rublon MFA w jeden z następujących sposobów:

• Dodaj konto ręcznie, zachowując identyczną nazwę użytkownika jak w zewnętrznej usłudze katalogowej.

• Zsynchronizuj konto z zewnętrznego katalogu, np. Active Directory lub Entra ID.

• Upewnij się, że w konsoli Rublon Admin Console ustawiono opcję Enrollment Type (Typ rejestracji) na Automatic (Automatyczna) i użyj danych uwierzytelniających współdzielonego konta, aby zalogować się do aplikacji zintegrowanej z usługą Rublon.

2. Zarejestruj uwierzytelniacze dla administratorów nadzorujących to konto:

• Wyślij E-mail rejestracyjny do każdej osoby, która będzie korzystać z konta. Zmień wartość pola Email Address (Adres e-mail) przed wysłaniem każdego E-maila rejestracyjnego, aby upewnić się, że wszyscy otrzymają wiadomość e-mail w swojej skrzynce pocztowej i zarejestrują swój uwierzytelniacz, otwierając link w wiadomości e-mail.

3. Ukryj przycisk Manage Authenticators (Zarządzaj uwierzytelniaczami), odznaczając opcję Let Users Manage Authenticators. Użytkownicy nie będą mogli dodawać nowych urządzeń w widoku Rublon Prompt.

4. Przebieg logowania:

1. Operator wprowadza współdzieloną nazwę użytkownika i hasło.
2. Operator wybiera zarejestrowany uwierzytelniacz nadzorcy.
3. Nadzorca otrzymuje prośbę o uwierzytelnienie i zatwierdza ją.

Wskazówka: Jeśli jest tylko jeden nadzorca, włącz politykę Default Authentication Method (Domyślna metoda uwierzytelniania). Po wprowadzeniu poprawnego hasła, system automatycznie wyśle żądanie MFA do nadzorcy, skracając tym samym czas spędzony przez operatora przy widoku Rublon Prompt.

Poniższa tabela opisuje, w dobrze każda metoda uwierzytelniania pasuje do nadzorowanego uwierzytelniania wieloskładnikowego.