اشتراط المصادقة الثنائية لمستخدمي Nextcloud

لفرض المصادقة الثنائية (2FA) في Nextcloud، فعّل أولًا موفر مصادقة ثنائية واحد على الأقل، ثم فعّل خاصية الفرض من خلال إعدادات الإدارة ← الأمان أو باستخدام occ twofactorauth:enforceالأمر المناسب. الموفر هو الطريقة التي تُقدّم دليل إثبات الهوية الثاني، مثل رمز لمرة واحدة من تطبيق مصادقة. يُلزم الفرض استخدام المصادقة الثنائية للنطاق الذي تختاره؛ بينما لا يُلزم تثبيت الموفر بذلك. هذه الخطوات مُوضّحة في دليل إدارة Nextcloud 35 الحالي.

تعرف على التغييرات في تطبيق القانون

يفصل Nextcloud بين توفر مزود الخدمة وشرط استخدام المصادقة الثنائية. يقوم المسؤولون بتفعيل مزود الخدمة أولاً، ثم يقوم المستخدم بتفعيل طريقة المصادقة على حسابه، أو يفرض المسؤول المصادقة الثنائية بحيث يتعين على المستخدمين إكمال الإعداد. يدعم مزود TOTP المدمج الرموز الزمنية التي يتم إنشاؤها بواسطة تطبيق مصادقة متوافق. في Nextcloud 35، يكون هذا المزود مثبتًا ولكنه معطل افتراضيًا. أما مزود رمز النسخ الاحتياطي فهو مُفعّل دائمًا ويمنح المستخدمين رموز استرداد لمرة واحدة.

قبل تفعيل شرط لمجموعة كبيرة، حدد ما إذا كان ينطبق على جميع الحسابات أم على مجموعة تجريبية فقط. حدد أيضًا حسابات الخدمة والتكامل ومسؤول الطوارئ. قد يؤدي تطبيق قاعدة عامة إلى انقطاع الوصول عن المستخدمين الذين لم يسجلوا بعد أو لا يستطيعون الوصول إلى عاملهم. يشرح الدليل الرسمي لـ Nextcloud عملية اختيار المجموعات والاستثناءات؛ وتُعطى الأولوية لعضوية المجموعة المختارة إذا كان المستخدم أيضًا في مجموعة مستثناة. راجع العضوية قبل تطبيق أي سياسة.

إعداد خطة لتوفير الخدمات والتعافي

1. سجّل الدخول كمسؤول Nextcloud وافتح التطبيقات . فعّل موفر التحقق الثنائي TOTP إذا كنت تخطط لاستخدام رموز المصادقة. قد يختلف تصميم القائمة قليلاً باختلاف إصدارات الخادم والسمات المدعومة.
2. أبقِ مزود رمز النسخ الاحتياطي متاحًا. اطلب من مستخدم تجريبي فتح الإعدادات الشخصية، وتكوين عامل مصادقة ثانٍ، وإنشاء رموز النسخ الاحتياطي. يوصي دليل مستخدم Nextcloud بتخزين الرموز لمرة واحدة في مكان آمن ومنفصل عن جهاز المصادقة.
3. اختبر تسجيل دخول المستخدم في جلسة متصفح منفصلة: سجّل الخروج، ثم سجّل الدخول مجددًا، وتأكد من قبول رمز التحقق الثنائي. إذا كان المستخدمون يعتمدون على تطبيقات سطح المكتب أو الأجهزة المحمولة، فراجع عملية تسجيل الدخول لديهم أيضًا. تشير Nextcloud إلى أن التطبيقات التي لا تدعم التحقق الثنائي قد تحتاج إلى كلمات مرور خاصة بالجهاز.

لا تقم بتعطيل أو إزالة أي مزود خدمة سبق للمستخدمين الاشتراك به دون التخطيط لعملية النقل. يحذر دليل المسؤول من أن Nextcloud يحتفظ ببيانات مزودي الخدمة؛ لذا قد يؤدي حذف التطبيق إلى ظهور تحذير "عامل غير متاح" للمستخدمين عند تسجيل الدخول. في حال إزالة مزود خدمة بشكل نهائي، يُرجى مراجعة إجراءات التنظيف الموثقة، مع العلم أن هذه العملية غير قابلة للتراجع.

قم بتفعيل المصادقة الثنائية في واجهة المسؤول

1. افتح إعدادات الإدارة → الأمان .
2. ابحث عن عناصر التحكم في تطبيق المصادقة الثنائية. اختر ما إذا كنت تريد تطبيق المصادقة الثنائية على مستوى النظام بأكمله، وحدد المجموعات التي يجب عليها استخدامها، وأضف استثناءات فقط حيث تتطلب سياستك ذلك.
3. احفظ أو طبق الإعداد إذا كانت الواجهة تعرض عنصر تحكم الحفظ، ثم اختبر حسابًا عاديًا في النطاق المفروض وحسابًا خارج النطاق.

إذا لم يتم تحديد أي مجموعات، يفرض Nextcloud المصادقة الثنائية على الجميع باستثناء أعضاء المجموعات المستثناة. أما إذا تم تحديد مجموعات، فيفرض المصادقة الثنائية على أعضاء تلك المجموعات. وعندما ينتمي شخص ما إلى كل من مجموعة محددة ومجموعة مستثناة، تُعتمد المجموعة المحددة، وبالتالي يبقى الشرط ساريًا. هذه القواعد تجعل من المهم التحقق من عضويات المجموعات المتداخلة أو المتزامنة قبل تفعيل المصادقة الثنائية.

استخدم occ عندما تحتاج إلى سياسة قابلة للتكرار

occهي أداة إدارة سطر الأوامر الخاصة بـ Nextcloud. نفّذ الأوامر من مجلد تثبيت Nextcloud بصفتك مستخدم خادم الويب؛ قد يختلف اسم المستخدم والمسار باختلاف طريقة التثبيت. تستخدم الأمثلة أدناه حساب Debian أو Ubuntu الموثق www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

استبدل معرّفات المجموعات ومعرّف المستخدم بالقيم الموجودة على خادمك. يفرض هذا المثال من السياسة المصادقة الثنائية لأعضاء مجموعتي [اسم المجموعة] staffو admins[اسم المجموعة]؛ ولا يُنصح عمومًا باستبعاد حسابات الخدمة. استبعد أي حساب فقط بعد تحديد آلية المصادقة الخاصة به والضوابط التعويضية التي تحميه. توفر وثائق Nextcloud --offإمكانية تعطيل المصادقة الثنائية، ولكن استخدم ذلك كخيار تراجع مُخطط له وليس كبديل للاختبار.

sudo -E -u www-data php occ twofactorauth:enforce --off

راجع دليل أوامر المستخدم والمجموعة الرسمي لـ Nextcloud 35 للاطلاع على الصيغة الحالية. قد تتطلب عمليات التثبيت المعبأة في حاويات، أو عبر Snap، أو غيرها، بادئة أوامر أو سياق تنفيذ مختلف؛ لذا اتبع التعليمات الخاصة بعملية النشر الخاصة بك بدلاً من نسخ المثال حرفياً.

تحقق من عملية الإطلاق وتجنب عمليات الإغلاق

تحقق من حالة تطبيق السياسة على المستخدمين المُمثلين occ twofactorauth:state <uid>. ثم اختبر تسجيل دخول عادي عبر المتصفح لمستخدم مُطبق عليه السياسة، وتأكد من أن Nextcloud يتطلب عامل مصادقة مُكوّن. تحقق من مستخدم مُستبعد فقط إذا كان الاستبعاد مقصودًا. حافظ على رموز الاسترداد محمية، وتأكد من أن المسؤولين على دراية بمسار الاسترداد الموثق قبل توسيع نطاق السياسة.

في حال فقد المستخدم عامل التحقق، يوفر Nextcloud أمرًا إداريًا خاصًا بمزود الخدمة لتعطيل المصادقة الثنائية لهذا المستخدم، وذلك في حال دعم مزود الخدمة لها sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. هذا إجراء استعادة، وليس وسيلة لتخفيف تطبيق المصادقة الثنائية على الجميع. كما يصف الدليل الرسمي تطبيقًا منفصلاً لدعم إدارة المصادقة الثنائية، والذي يمكنه إصدار رمز تسجيل دخول لمرة واحدة في الحالات المدعومة. تأكد من الطريقة المناسبة لإصدارك ومزود الخدمة قبل الاعتماد عليها.

للحصول على التفاصيل الكاملة، راجع دليل مسؤول Nextcloud 35 الخاص بالمصادقة الثنائية ودليل مستخدم Nextcloud 35 الخاص بالتسجيل ورموز النسخ الاحتياطي . قد يختلف توفر مزود الخدمة وتسميات الواجهة الدقيقة حسب إصدار Nextcloud والتطبيقات المُفعّلة، لذا تأكد منها على جهازك قبل تفعيل المصادقة الثنائية لجميع المستخدمين.