Exigir autenticação de dois fatores para usuários do Nextcloud

Para impor a autenticação de dois fatores (2FA) no Nextcloud, primeiro habilite pelo menos um provedor de 2FA e, em seguida, ative a imposição em Configurações de administração → Segurança ou use o occ twofactorauth:enforcecomando. Um provedor é o método que fornece a segunda prova de identidade, como um código único de um aplicativo autenticador. A imposição torna a 2FA obrigatória para o escopo escolhido; simplesmente instalar um provedor não a torna obrigatória. Essas etapas seguem o Manual de Administração do Nextcloud 35.

Saiba quais mudanças estão sendo feitas na aplicação da lei

O Nextcloud separa a disponibilidade do provedor da obrigatoriedade do uso da autenticação de dois fatores (2FA). Os administradores primeiro habilitam um provedor; em seguida, o usuário ativa um método em sua conta, ou o administrador impõe a 2FA, exigindo que os usuários concluam a configuração. O provedor TOTP integrado suporta códigos baseados em tempo gerados por um aplicativo autenticador compatível. No Nextcloud 35, ele está instalado, mas desabilitado por padrão. O provedor de código de backup está sempre habilitado e fornece aos usuários códigos de recuperação únicos.

Antes de habilitar um requisito para um grupo grande, decida se ele se aplica a todas as contas ou apenas a um grupo piloto. Identifique também as contas de serviço, integração e administrador de emergência. Uma regra ampla pode interromper o acesso de usuários que ainda não se inscreveram ou não conseguem contatar seu administrador. O guia oficial do Nextcloud descreve a seleção e exclusão de grupos; a associação a um grupo selecionado tem precedência se um usuário também estiver em um grupo excluído. Revise a associação antes de aplicar uma política.

Prepare um plano de tratamento e recuperação.

1. Inicie sessão como administrador do Nextcloud e abra a secção Aplicações . Ative o fornecedor TOTP de autenticação de dois fatores se planeia utilizar códigos de autenticação. O layout exato do menu pode variar ligeiramente consoante as versões e temas do servidor suportados.
2. Mantenha o provedor de código de backup disponível. Peça a um usuário piloto para acessar as configurações pessoais, configurar um segundo fator e gerar códigos de backup. O manual do usuário do Nextcloud recomenda armazenar os códigos de uso único em um local seguro e separado do dispositivo autenticador.
3. Teste o login desse usuário em uma sessão de navegador separada: faça logout, faça login novamente e verifique se a solicitação de autenticação de dois fatores aceita um código válido. Se seus usuários dependem de aplicativos para desktop ou dispositivos móveis, revise também o fluxo de login deles. O Nextcloud observa que os aplicativos que não suportam autenticação de dois fatores podem precisar de senhas específicas para cada dispositivo.

Não desative ou desinstale um provedor no qual os usuários já tenham se cadastrado sem planejar a migração. O manual do administrador alerta que o Nextcloud mantém as associações de provedor; remover o aplicativo pode fazer com que os usuários vejam um aviso de indisponibilidade de provedor ao fazer login. Se um provedor for removido permanentemente, consulte o procedimento de limpeza documentado e esteja ciente de que a ação é irreversível.

Impor a autenticação de dois fatores (2FA) na interface do administrador.

1. Abra as configurações de Administração → Segurança .
2. Encontre os controles de aplicação da autenticação de dois fatores. Escolha se deseja aplicar a autenticação de dois fatores em todo o sistema, selecione os grupos que devem usá-la e adicione exclusões somente onde sua política exigir.
3. Salve ou aplique a configuração se a interface apresentar um controle de salvamento e, em seguida, teste uma conta normal no escopo imposto e uma conta fora do escopo.

Se nenhum grupo for selecionado, o Nextcloud impõe a autenticação de dois fatores (2FA) para todos, exceto para membros de grupos excluídos. Se você selecionar grupos, a 2FA será imposta para os membros desses grupos. Quando alguém pertence a um grupo selecionado e a um grupo excluído, o grupo selecionado prevalece, portanto, a exigência ainda se aplica. Essas regras tornam importante verificar as associações a grupos aninhados ou sincronizados antes de habilitar a imposição da 2FA.

Use occ quando precisar de uma política repetível.

occé a ferramenta de administração de linha de comando do Nextcloud. Execute comandos a partir do diretório de instalação do Nextcloud como o usuário do servidor web; o usuário e o caminho podem variar de acordo com o método de instalação. Os exemplos abaixo usam a conta documentada no estilo Debian ou Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Substitua os IDs de grupo e o ID de usuário por valores existentes no seu servidor. A política de exemplo impõe a autenticação de dois fatores (2FA) para membros de `groups` staffe `users` admins; excluir contas de serviço não é uma recomendação universal. Exclua uma conta somente após decidir como ela se autentica e quais controles compensatórios a protegem. A documentação do Nextcloud --offpermite desativar a imposição da 2FA, mas use isso como um plano de reversão, e não como um substituto para testes.

sudo -E -u www-data php occ twofactorauth:enforce --off

Consulte a referência oficial de comandos de usuário e grupo do Nextcloud 35 para obter a sintaxe atual. Instalações em contêineres, snap e outras podem exigir um prefixo de comando ou contexto de execução diferente; siga as instruções para sua implantação em vez de copiar o exemplo literalmente.

Verifique a implementação e evite bloqueios.

Verifique o estado de aplicação da política para usuários representativos occ twofactorauth:state <uid>. Em seguida, teste um login normal no navegador para um usuário com a política aplicada e confirme se o Nextcloud exige um fator configurado. Verifique um usuário excluído somente se a exceção for intencional. Mantenha os códigos de recuperação protegidos e certifique-se de que os administradores conheçam o procedimento de recuperação documentado antes de expandir a política.

Se um usuário perder a autenticação de dois fatores, o Nextcloud oferece um comando administrativo específico do provedor para desativar a autenticação de dois fatores para esse usuário, quando o provedor a suporta: sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Esta é uma ação de recuperação, não uma forma de enfraquecer a aplicação da autenticação para todos. O manual oficial também descreve um aplicativo separado de Suporte Administrativo à Autenticação de Dois Fatores que pode emitir um código de login único em situações suportadas. Confirme o método apropriado para a sua versão instalada e provedor antes de utilizá-lo.

Para obter detalhes completos, consulte o guia do administrador do Nextcloud 35 sobre autenticação de dois fatores e o guia do usuário do Nextcloud 35 sobre códigos de inscrição e backup . A disponibilidade do provedor e os rótulos exatos da interface podem depender da sua versão do Nextcloud e dos aplicativos habilitados; portanto, confirme-os em sua instância antes de impor a autenticação de dois fatores para todos os usuários.