ags mfas

ags mfas komutu, kullanıcıdan parolanın ardından istenen ikinci faktörü tanımlayan yapılandırmaları yönetir: kimlik doğrulama uygulamasından kod, e-posta ile gönderilen kod ya da bir HTTP servisi üzerinden iletilen kod. Panel karşılığı Multi-Factor Authentication ekranıdır.

MFA yapılandırması kendi başına çalışmaz; ağ geçidinin akışına agsMFAs türünde bir adım olarak eklenir ve o adımın profili olur.

Komut Özeti

TR7 WEB-CLI · ags mfas

admin@TR7LBWAF01> ags mfas list # hepsini listele

admin@TR7LBWAF01> ags mfas show <kimlik> # birini göster

admin@TR7LBWAF01> ags mfas add name <ad> method <yöntem> … # yeni kayıt

admin@TR7LBWAF01> ags mfas update id <kimlik> … # değiştir

admin@TR7LBWAF01> ags mfas delete <kimlik> # sil

admin@TR7LBWAF01>  

Yazım Sırası

Adım 1 Adı yaz

ags mfas add name totp-dogrulama

Adım 2 Yöntemi seç

method totp

Üç değer alır: totp, emailOtp, httpOtp. Yöntem seçildikten sonra yalnız o yöntemin alanları istenir.

Adım 3 Yöntemin alanlarını yaz

Hangi alanların isteneceği aşağıda yöntem yöntem verilmiştir; kalan her ayar varsayılan değeriyle gelir.

Adım 4 Akışa ekle

ags gateway update id <vService> --actions.N.actionType agsMFAs --actions.N.actionProfileId <mfa>

Zorunlu Alanlar

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Yapılandırmanın adı
2	method	Zorunlu	totp · emailOtp · httpOtp
3	totpIssuerName	Koşullu zorunlu	Yalnız totp yönteminde
3	otpChannel · httpUrl · httpMethod	Koşullu zorunlu	Yalnız httpOtp yönteminde

emailOtp yönteminde ad ve yöntemden başka zorunlu alan yoktur; kod uzunluğundan geçerlilik süresine kadar her ayar varsayılanıyla gelir.

Yöntemler

method	Kod nereden gelir
totp	Kullanıcının kimlik doğrulama uygulamasında üretilir
emailOtp	TR7 tarafından üretilir ve kullanıcının e-posta adresine gönderilir
httpOtp	TR7 tarafından üretilir ve seçilen kanala bir HTTP isteğiyle iletilir (SMS ağ geçidi, e-posta servisi ya da özel bir servis)

Yöntem Yöntem Alanlar ve Örnek Komut

totp

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Yapılandırmanın adı
2	method	Zorunlu	totp
3	totpIssuerName	Zorunlu	Kimlik doğrulama uygulamasında görünecek kurum adı

İsteğe bağlı ayar	Varsayılan	Değer
--totpAlgorithm	SHA1	SHA1 · SHA256 · SHA512; uygulamaların çoğu SHA1 destekler
--totpDigits	6	6 ya da 8
--totpPeriod	30	Kodun yenilenme süresi, saniye
--totpWindow	1	Saat kayması toleransı; her adım bir dönem uzunluğundadır
--totpAllowManualEntry	true	Kare kod okutulamazsa gizli anahtarın elle girilmesine izin verir
--totpAllowBackupCodes	true	Kullanıcının yedek kod üretmesine izin verir

TR7 WEB-CLI · totp

admin@TR7LBWAF01> ags mfas add name totp-dogrulama method totp totpIssuerName Kurum

# daha uzun kod ve daha geniş tolerans

admin@TR7LBWAF01> ags mfas add name totp-sikilastirilmis method totp --totpIssuerName Kurum \

--totpDigits 8 --totpWindow 2 --totpAllowBackupCodes false

admin@TR7LBWAF01>  

emailOtp

Zorunlu alanı ad ve yöntemden ibarettir. Kod, kullanıcının e-posta adresine gönderilir.

İsteğe bağlı ayar	Varsayılan	Değer
--otpLength	6	Kodun karakter sayısı
--otpType	numeric	numeric ya da alphanumeric
--otpAllowResend	true	Kullanıcının yeni kod istemesine izin verir
--otpEmailSource	—	Kodun gönderileceği e-posta adresinin alınacağı ifade
--otpExpiration.val · --otpExpiration.unit	—	Kodun geçerlilik süresi
--otpResendCooldown.val · --otpResendCooldown.unit	—	Yeni kod istemek için beklenecek süre

TR7 WEB-CLI · emailOtp

admin@TR7LBWAF01> ags mfas add name eposta-kodu method emailOtp \

--otpLength 8 --otpType alphanumeric --otpExpiration.val 180 --otpExpiration.unit s

admin@TR7LBWAF01>  

httpOtp

Kod TR7'de üretilir, kullanıcıya bir HTTP isteğiyle iletilir. Bu yüzden hem kanal hem de istek tanımlanır.

Sıra	Alan	Durum	Değer
1	name	Zorunlu	Yapılandırmanın adı
2	method	Zorunlu	httpOtp
3	otpChannel	Zorunlu	sms · email · custom
4	httpUrl	Zorunlu	İsteğin gideceği adres
5	httpMethod	Zorunlu	İstek yöntemi (GET, POST… varsayılan POST)

İsteğe bağlı ayar	Varsayılan	Değer
--otpPhoneSource	—	sms kanalında; telefon numarasının alınacağı ifade
--otpEmailSource	—	email kanalında; e-posta adresinin alınacağı ifade
--httpBodyType	json	none · multipartForm · urlEncodedForm · json · raw
--httpTimeout	30	Saniye
--httpFollowRedirects	true	Yönlendirmeleri izler
--httpSuccessConditions.0	statusCode	statusCode · cookie · redirectUrl · jsonata
--httpExpectedStatusCodes.0	200	Başarı sayılan durum kodları
--httpHeaders.0.name · --httpHeaders.0.value	—	İstek başlıkları
--httpQueryParams.0.name · --httpQueryParams.0.value	—	Sorgu parametreleri
--httpBodyParams.0.name · --httpBodyParams.0.value	—	Gövdeye yazılacak alan adı ve değeri; gövde biçimi json, multipartForm ya da urlEncodedForm iken açılır ve en az bir çift gerekir
--namespace	Cihazın varsayılan route tablosu	İsteğin çıkacağı route tablosu

Başarı koşuluna ve gövde biçimine göre açılan alanlar:

Alan	Ne yapar	Arkasına ne yazılır
--httpExpectedCookieName	Başarı sayılması için yanıtta bulunması gereken çerezin adını belirler	Çerez adı. Başarı koşullarına cookie eklendiğinde zorunludur
--httpExpectedRedirectUrl	Başarı sayılması için yanıtın yönlendireceği adresi belirler	Adres. Başarı koşullarına redirectUrl eklendiğinde zorunludur
--httpSuccessJsonataExpression	Yanıt gövdesinin başarı sayılması için sağlaması gereken ifadeyi belirler	JSONata ifadesi. Başarı koşullarına jsonata eklendiğinde zorunludur
--httpRawBody	İstek gövdesinin ham içeriğini belirler	Gövde metni. Gövde biçimi raw seçildiğinde istenir

TR7 WEB-CLI · httpOtp (SMS ağ geçidi)

admin@TR7LBWAF01> ags mfas add name sms-kodu method httpOtp \

otpChannel sms httpUrl https://sms.kurum.local/gonder httpMethod POST

# başlık eklenince türe özel alanlar da -- önekli yazılır

admin@TR7LBWAF01> ags mfas add name sms-kodu-2 method httpOtp \

--otpChannel sms --httpUrl https://sms.kurum.local/gonder --httpMethod POST \

--httpHeaders.0.name Authorization --httpHeaders.0.value <anahtar>

admin@TR7LBWAF01>  

Süre Alanları

Süre alanları iki parçadan oluşur: değer ve birim.

Alan	Varsayılan
--otpExpiration.val · --otpExpiration.unit	Birim s
--otpResendCooldown.val · --otpResendCooldown.unit	Birim s
--trustDuration.val · --trustDuration.unit	30 gün

Tüm Yöntemlerde Ortak Ayarlar

Ayar	Varsayılan	İşlevi
--trustDevice	false	Giriş ekranında "bu cihaza güven" seçeneğini gösterir
--trustDuration.val · --trustDuration.unit	30 gün	Cihaza güvenilen süre
--lockoutBehaviour	inherit	Kilitleme politikalarının bu MFA noktasında nasıl uygulanacağı: inherit · override · extend · disabled
--lockoutPolicies.0	lockout_username	override ya da extend seçildiğinde uygulanacak politikalar

Güncelleme ve Silme

TR7 WEB-CLI · güncelleme ve silme

admin@TR7LBWAF01> ags mfas update id <kimlik> --trustDevice true --trustDuration.val 7 --trustDuration.unit d

admin@TR7LBWAF01> ags mfas update id <kimlik> --httpHeaders.delete # başlıkları boşalt

admin@TR7LBWAF01> ags mfas delete <kimlik>

admin@TR7LBWAF01>  

Yöntem güncellemede de değiştirilebilir; değiştirildiğinde yeni yöntemin zorunlu alanlarının da verilmesi gerekir.

Bilinmesi Gerekenler

• Yapılandırma tek başına çalışmaz. Ağ geçidinin akışına agsMFAs adımı olarak eklenmeden kullanılmaz; adımın başarı ve başarısızlık geçişleri de orada tanımlanır.
• Satırda bir -- varsa yönteme özel alanlar da -- alır. name ve method her zaman öneksizdir.
• Parantezli ve boşluklu değerler tırnak ister. Kaynak ifadeleri ve çok kelimeli değerler çift tırnakla yazılır.
• Kilitleme politikaları buradan da bağlanabilir. --lockoutBehaviour override ya da extend seçildiğinde bu MFA adımı için ayrı politikalar uygulanır.