Richiedere l'autenticazione a due fattori per gli utenti di Nextcloud

Per imporre l'autenticazione a due fattori (2FA) in Nextcloud, è necessario innanzitutto abilitare almeno un provider 2FA, quindi attivare l'obbligo in Impostazioni di amministrazione → Sicurezza oppure utilizzare il occ twofactorauth:enforcecomando. Un provider è il metodo che fornisce la seconda prova di identità, ad esempio un codice monouso da un'app di autenticazione. L'attivazione dell'obbligo rende la 2FA obbligatoria per l'ambito scelto; la semplice installazione di un provider non lo rende tale. Questi passaggi seguono il Manuale di amministrazione di Nextcloud 35.

Scopri quali cambiamenti in materia di applicazione della legge

Nextcloud separa la disponibilità del provider dall'obbligo di utilizzare l'autenticazione a due fattori (2FA). Gli amministratori abilitano prima un provider; successivamente, l'utente attiva un metodo di autenticazione sul proprio account, oppure un amministratore impone la 2FA, obbligando così gli utenti a completare la configurazione. Il provider TOTP integrato supporta i codici temporizzati generati da un'app di autenticazione compatibile. In Nextcloud 35 è installato ma disabilitato per impostazione predefinita. Il provider di codici di backup è sempre abilitato e fornisce agli utenti codici di recupero monouso.

Prima di abilitare un requisito per un gruppo numeroso, è necessario decidere se applicarlo a tutti gli account o solo a un gruppo pilota. È inoltre necessario identificare gli account di servizio, di integrazione e di amministratore di emergenza. Una regola troppo generica può interrompere l'accesso per gli utenti che non si sono ancora registrati o che non riescono a raggiungere il proprio account. La guida ufficiale di Nextcloud descrive la selezione e l'esclusione dei gruppi; l'appartenenza al gruppo selezionato ha la precedenza se un utente è anche in un gruppo escluso. Prima di applicare una policy, è necessario verificare l'appartenenza al gruppo.

Preparare un percorso di assistenza e recupero

1. Accedi come amministratore di Nextcloud e apri App . Abilita il provider TOTP a due fattori se intendi utilizzare i codici di autenticazione. Il layout esatto del menu potrebbe variare leggermente a seconda delle versioni del server e dei temi supportati.
2. Tenete a disposizione il fornitore dei codici di backup. Chiedete a un utente pilota di accedere alle impostazioni personali, configurare un secondo fattore di autenticazione e generare i codici di backup. Il manuale utente di Nextcloud consiglia di conservare i codici monouso in un luogo sicuro e separatamente dal dispositivo di autenticazione.
3. Verifica l'accesso dell'utente in una sessione del browser separata: disconnettiti, accedi di nuovo e verifica che la richiesta di autenticazione a due fattori accetti un codice valido. Se i tuoi utenti utilizzano client desktop o mobili, rivedi anche il loro flusso di accesso. Nextcloud segnala che i client che non supportano l'autenticazione a due fattori potrebbero richiedere password specifiche per il dispositivo.

Non disabilitare o disinstallare un provider a cui gli utenti si sono già iscritti senza aver prima pianificato la migrazione. Il manuale di amministrazione avverte che Nextcloud conserva le associazioni con i provider; la rimozione dell'app potrebbe comportare la visualizzazione di un avviso di indisponibilità al momento dell'accesso. Se un provider viene rimosso definitivamente, consultare la procedura di pulizia documentata e tenere presente che l'operazione è irreversibile.

Imponi l'autenticazione a due fattori nell'interfaccia di amministrazione.

1. Apri le impostazioni di amministrazione → Sicurezza .
2. Trova i controlli per l'applicazione dell'autenticazione a due fattori. Scegli se applicare l'autenticazione a due fattori a livello di sistema, seleziona i gruppi che devono utilizzarla e aggiungi esclusioni solo laddove richiesto dai criteri.
3. Salva o applica l'impostazione se l'interfaccia presenta un'opzione di salvataggio, quindi testa un account normale all'interno dell'ambito di applicazione e un account al di fuori di tale ambito.

Se non viene selezionato alcun gruppo, Nextcloud impone l'autenticazione a due fattori (2FA) a tutti tranne che ai membri dei gruppi esclusi. Se si selezionano dei gruppi, l'autenticazione a due fattori viene imposta ai membri di tali gruppi. Nel caso in cui un utente appartenga sia a un gruppo selezionato che a un gruppo escluso, prevale il gruppo selezionato, quindi il requisito rimane valido. Queste regole rendono importante verificare le appartenenze a gruppi annidati o sincronizzati prima di abilitare l'applicazione dell'autenticazione a due fattori.

Utilizza occ quando hai bisogno di una policy ripetibile

occè lo strumento di amministrazione da riga di comando di Nextcloud. Esegui i comandi dalla directory di installazione di Nextcloud come utente del server web; l'utente e il percorso possono variare a seconda del metodo di installazione. Gli esempi seguenti utilizzano l'account documentato in stile Debian o Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Sostituisci gli ID di gruppo e l'ID utente con i valori esistenti sul tuo server. La policy di esempio impone l'autenticazione a due fattori (2FA) per i membri di staffe admins; escludere gli account di servizio non è una raccomandazione universale. Escludi un account solo dopo aver deciso come si autentica e quali controlli compensativi lo proteggono. Nextcloud documenta --offcome disabilitare l'applicazione, ma usa questa opzione come un rollback pianificato piuttosto che come un sostituto per i test:

sudo -E -u www-data php occ twofactorauth:enforce --off

Consultare la documentazione ufficiale di Nextcloud 35 relativa ai comandi per utenti e gruppi per la sintassi corrente. Le installazioni containerizzate, snap e di altro tipo potrebbero richiedere un prefisso di comando o un contesto di esecuzione diverso; seguire le istruzioni specifiche per la propria implementazione anziché copiare letteralmente l'esempio.

Verifica l'implementazione ed evita i blocchi

Verifica lo stato di applicazione per gli utenti rappresentativi con occ twofactorauth:state <uid>. Quindi prova un normale accesso tramite browser per un utente soggetto a applicazione e conferma che Nextcloud richieda un fattore configurato. Verifica un utente escluso solo se l'eccezione è intenzionale. Mantieni i codici di ripristino protetti e assicurati che gli amministratori conoscano il percorso di ripristino documentato prima di estendere la policy.

Se un utente perde il proprio fattore di autenticazione, Nextcloud fornisce un comando amministrativo specifico del provider per disabilitare l'autenticazione a due fattori per quell'utente, qualora il provider lo supporti: sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Si tratta di un'azione di recupero, non di un modo per indebolire l'applicazione dell'autenticazione a due fattori per tutti. Il manuale ufficiale descrive anche un'app di supporto amministrativo per l'autenticazione a due fattori separata che può emettere un codice di accesso monouso nelle situazioni supportate. Prima di utilizzarla, verificare il metodo appropriato per la versione installata e il provider.

Per maggiori dettagli, consulta la guida dell'amministratore di Nextcloud 35 sull'autenticazione a due fattori e la guida utente di Nextcloud 35 sui codici di registrazione e di backup . La disponibilità del provider e le etichette esatte dell'interfaccia possono dipendere dalla versione di Nextcloud e dalle app abilitate, quindi verificale sulla tua istanza prima di imporre l'autenticazione a due fattori a tutti gli utenti.