Vereis tweefactorauthenticatie voor Nextcloud-gebruikers.

Om tweefactorauthenticatie (2FA) in Nextcloud af te dwingen, moet u eerst ten minste één 2FA-provider inschakelen en vervolgens de afdwinging inschakelen onder Beheerinstellingen → Beveiliging of met behulp van de occ twofactorauth:enforceopdracht. Een provider is de methode die het tweede identiteitsbewijs levert, zoals een eenmalige code van een authenticatie-app. Door de afdwinging wordt 2FA verplicht voor het door u gekozen bereik; het installeren van een provider alleen doet dit niet. Deze stappen volgen de huidige Nextcloud 35-beheerhandleiding.

Weet welke handhavingswijzigingen er zijn.

Nextcloud scheidt de beschikbaarheid van een provider van de verplichting om tweefactorauthenticatie (2FA) te gebruiken. Beheerders schakelen eerst een provider in; vervolgens activeert een gebruiker een methode op zijn of haar account, of een beheerder dwingt 2FA af, zodat gebruikers de configuratie moeten voltooien. De ingebouwde TOTP-provider ondersteunt tijdsgebonden codes die worden gegenereerd door een compatibele authenticatie-app. In Nextcloud 35 is deze geïnstalleerd, maar standaard uitgeschakeld. De back-upcodeprovider is altijd ingeschakeld en geeft gebruikers eenmalige herstelcodes.

Voordat u een vereiste voor een grote groep inschakelt, moet u bepalen of deze van toepassing is op alle accounts of alleen op een pilotgroep. Identificeer ook de service-, integratie- en noodbeheerdersaccounts. Een algemene regel kan de toegang blokkeren voor gebruikers die zich nog niet hebben aangemeld of hun factor niet kunnen bereiken. De officiële handleiding van Nextcloud beschrijft de selectie en uitsluiting van groepen; lidmaatschap van een geselecteerde groep heeft voorrang als een gebruiker ook lid is van een uitgesloten groep. Controleer het lidmaatschap voordat u een beleid toepast.

Stel een zorgaanbieder en een herstelplan op.

1. Meld u aan als Nextcloud-beheerder en open Apps . Schakel de TOTP-provider (Two-Factor Token) in als u authenticatiecodes wilt gebruiken. De exacte menu-indeling kan enigszins variëren afhankelijk van de ondersteunde serverversie en het thema.
2. Zorg dat de provider van de back-upcodes beschikbaar blijft. Vraag een proefgebruiker om de persoonlijke instellingen te openen, een tweede authenticatiefactor in te stellen en back-upcodes te genereren. De gebruikershandleiding van Nextcloud raadt aan de eenmalige codes op een veilige plek te bewaren, gescheiden van het authenticatieapparaat.
3. Test de aanmelding van die gebruiker in een aparte browsersessie: meld je af, meld je opnieuw aan en controleer of de prompt voor tweefactorauthenticatie een actuele code accepteert. Als je gebruikers gebruikmaken van desktop- of mobiele clients, controleer dan ook hun aanmeldingsproces. Nextcloud merkt op dat clients die geen tweefactorauthenticatie ondersteunen mogelijk apparaatspecifieke wachtwoorden nodig hebben.

Schakel een provider die al door gebruikers is geregistreerd niet uit of verwijder deze niet zonder de migratie te plannen. De beheerdershandleiding waarschuwt dat Nextcloud providerkoppelingen bewaart; het verwijderen van de app kan ertoe leiden dat gebruikers bij het inloggen een waarschuwing krijgen dat een bepaalde factor niet beschikbaar is. Als een provider permanent wordt verwijderd, raadpleeg dan de gedocumenteerde opschoonprocedure en houd er rekening mee dat dit onomkeerbaar is.

Schakel tweefactorauthenticatie (2FA) in via de beheerdersinterface.

1. Open Beheerinstellingen → Beveiliging .
2. Zoek de instellingen voor het afdwingen van tweefactorauthenticatie. Kies of u 2FA systeembreed wilt afdwingen, selecteer de groepen die het moeten gebruiken en voeg uitzonderingen toe alleen waar uw beleid dit vereist.
3. Sla de instelling op of pas deze toe als de interface een opslaan-optie biedt, en test vervolgens een regulier account binnen het afgedwongen bereik en een account buiten het bereik.

Als er geen groepen zijn geselecteerd, dwingt Nextcloud tweefactorauthenticatie (2FA) af voor iedereen, behalve voor leden van uitgesloten groepen. Als u groepen selecteert, dwingt Nextcloud 2FA af voor leden van die groepen. Wanneer iemand tot zowel een geselecteerde als een uitgesloten groep behoort, heeft de geselecteerde groep voorrang, waardoor de vereiste nog steeds van toepassing is. Deze regels maken het belangrijk om te controleren of er geneste of gesynchroniseerde groepslidmaatschappen zijn voordat u 2FA inschakelt.

Gebruik occ wanneer u een herhaalbaar beleid nodig hebt.

occis de opdrachtregelbeheertool van Nextcloud. Voer opdrachten uit vanuit de Nextcloud-installatiemap als de webservergebruiker; de gebruiker en het pad kunnen verschillen afhankelijk van de installatiemethode. De onderstaande voorbeelden gebruiken het gedocumenteerde Debian- of Ubuntu-account www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Vervang de groeps-ID's en de gebruikers-ID door waarden die op uw server bestaan. Het voorbeeldbeleid dwingt tweefactorauthenticatie (2FA) af voor leden van staffen admins; het is geen algemene aanbeveling om serviceaccounts uit te sluiten. Sluit een account pas uit nadat u hebt bepaald hoe het zich authenticeert en welke compenserende maatregelen het beschermen. Nextcloud documenteert --offhoe u de handhaving kunt uitschakelen, maar beschouw dit als een geplande terugdraaiing in plaats van een vervanging voor testen:

sudo -E -u www-data php occ twofactorauth:enforce --off

Raadpleeg de officiële Nextcloud 35-handleiding voor gebruikers- en groepsopdrachten voor de huidige syntaxis. Container-, snap- en andere installaties vereisen mogelijk een ander opdrachtvoorvoegsel of een andere uitvoeringscontext; volg de instructies voor uw implementatie in plaats van het voorbeeld letterlijk te kopiëren.

Controleer de uitrol en voorkom blokkades.

Controleer de handhavingsstatus voor representatieve gebruikers met occ twofactorauth:state <uid>. Test vervolgens een normale browseraanmelding voor een gebruiker waarvoor handhaving vereist is en bevestig dat Nextcloud een geconfigureerde authenticatiefactor vereist. Controleer een uitgesloten gebruiker alleen als de uitzondering opzettelijk is. Houd herstelcodes beschermd en zorg ervoor dat beheerders de gedocumenteerde herstelprocedure kennen voordat het beleid wordt uitgebreid.

Als een gebruiker zijn of haar authenticatiefactor kwijtraakt, biedt Nextcloud een providerspecifieke beheerdersopdracht om tweefactorauthenticatie (2FA) voor die gebruiker uit te schakelen, mits de provider dit ondersteunt sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Dit is een herstelactie, geen manier om de handhaving voor iedereen te verzwakken. De officiële handleiding beschrijft ook een aparte app voor ondersteuning van tweefactorauthenticatie (2FA) die in ondersteunde situaties een eenmalige inlogcode kan genereren. Controleer de juiste methode voor uw geïnstalleerde versie en provider voordat u deze gebruikt.

Raadpleeg voor meer informatie de Nextcloud 35-beheerdershandleiding voor tweefactorauthenticatie en de Nextcloud 35-gebruikershandleiding voor registratie- en back-upcodes . De beschikbaarheid van providers en de exacte interfacelabels kunnen afhangen van uw Nextcloud-versie en ingeschakelde apps. Controleer deze daarom op uw instantie voordat u tweefactorauthenticatie voor alle gebruikers inschakelt.