Użytkownik Nextcloud dociera do strony logowania, wpisuje prawidłowe hasło, a następnie zostaje zablokowany, ponieważ serwer wymaga drugiego składnika uwierzytelniania, którego nigdy nie skonfigurował. Dzieje się tak zazwyczaj, gdy administrator włącza obowiązkowe uwierzytelnianie dwuskładnikowe (2FA) przed włączeniem dostawcy, testowaniem procesu rejestracji i przygotowaniem użytkowników do odzyskiwania. Bezpieczniejszym rozwiązaniem jest najpierw włączenie obsługiwanego dostawcy, przeprowadzenie pilotażu z niewielką grupą użytkowników, a dopiero potem wymuszenie uwierzytelniania dwuskładnikowego dla docelowych kont.
Poniższe kroki są zgodne ze stabilną wersją podręczników administratora i użytkownika Nextcloud 35, które będą dostępne od 6 października 2026 r. Interfejs Nextcloud i dostępne aplikacje dostawcy mogą się różnić w zależności od wersji i wdrożenia serwera, dlatego przed zmianą instancji produkcyjnej sprawdź dokumentację zainstalowanej wersji.
Nextcloud traktuje uwierzytelnianie dwuskładnikowe jako funkcję wtykową: administrator włącza jedną lub więcej aplikacji dostawcy, a użytkownicy konfigurują czynnik w ustawieniach osobistych, chyba że administrator wymusi takie wymaganie. Polityka bez dostępnego dostawcy, niezarejestrowany użytkownik lub zgubiony uwierzytelniacz mogą przerwać logowanie. Kody odzyskiwania i sprawdzona ścieżka odzyskiwania administracyjnego zmniejszają to ryzyko.
Wymuszanie uwierzytelniania dwuskładnikowego (2FA) wpływa również na aplikacje łączące się z NextCloud. W NextCloud 35 aplikacje klienckie, które nie mogą ukończyć weryfikacji dwuskładnikowej, wymagają haseł aplikacji specyficznych dla danego urządzenia. Przed wdrożeniem należy zaplanować synchronizację klientów z komputerem stacjonarnym, aplikacji mobilnych i integracji.
Zacznij od mapowania zasad na grupy Nextcloud. Zdecyduj, czy reguła ma dotyczyć wszystkich, wybranych działów, czy wszystkich użytkowników z wyjątkiem niewielkiego, udokumentowanego zestawu kont usługowych. Upewnij się, że odpowiednie konta faktycznie należą do grup, które chcesz objąć kontrolą. Unikaj szerokich wykluczeń: wykluczone konto nie otrzymuje takiej samej ochrony logowania, jak konto wymuszone.
Logika grupowa Nextcloud ma znaczenie. Jeśli żadna grupa nie zostanie wybrana do egzekwowania, reguła będzie miała zastosowanie do wszystkich z wyjątkiem członków grup wykluczonych. Jeśli wybierzesz grupy, reguła będzie miała zastosowanie do członków tych grup; przynależność do wybranej grupy ma pierwszeństwo, jeśli dany użytkownik również należy do grupy wykluczonej. Przed zapisaniem polityki z wyjątkami należy potwierdzić te reguły w oficjalnej dokumentacji uwierzytelniania dwuskładnikowego Nextcloud 35 .
Na koncie administratora otwórz Aplikacje i sprawdź wyłączone aplikacje u dostawcy, takiego jak Two-Factor TOTP Provider . W instrukcji Nextcloud 35 podano, że TOTP może być zainstalowany, ale domyślnie wyłączony; dostawca oparty na powiadomieniach może również wymagać włączenia. Wbudowany dostawca kodu zapasowego jest dostępny do odzyskiwania konta. Aplikacje innych dostawców mogą być oferowane w sklepie Nextcloud App Store, ale przed użyciem upewnij się, że aplikacja obsługuje zainstalowaną wersję serwera.
W przypadku małego pilota włącz TOTP i poproś użytkownika testowego o otwarcie ustawień osobistych, znalezienie opcji uwierzytelniania dwuskładnikowego , zeskanowanie wyświetlonego kodu QR za pomocą kompatybilnej aplikacji uwierzytelniającej i potwierdzenie rejestracji. Zrób to na koncie, które można bezpiecznie zresetować. Podczas testowania utrzymuj otwartą osobną sesję administratora. Nie wymuszaj tej reguły na całej instancji, dopóki zwykły użytkownik i administrator nie zalogują się ponownie z użyciem uwierzytelniania dwuskładnikowego.
Użytkownicy powinni wygenerować jednorazowe kody zapasowe z osobistych ustawień uwierzytelniania dwuskładnikowego i przechowywać je oddzielnie od telefonu lub klucza bezpieczeństwa, którego używają do logowania. Oficjalny podręcznik użytkownika Nextcloud dotyczący uwierzytelniania dwuskładnikowego (2FA) wyjaśnia konfigurację TOTP, kody odzyskiwania, monity logowania i hasła specyficzne dla danego urządzenia.
Gdy pilot będzie mógł się zalogować i odzyskać dostęp, otwórz Ustawienia administracyjne > Bezpieczeństwo i znajdź sekcję uwierzytelniania dwuskładnikowego. Włącz ustawienie wymuszania. Jeśli uwzględniono tylko niektórych użytkowników, wybierz grupy wybrane w kroku 1 i dokładnie sprawdź listę wykluczonych grup. Jeśli chcesz wymagać uwierzytelniania dwuskładnikowego od wszystkich, pozostaw limit wybranych grup pusty; używaj wykluczeń tylko wtedy, gdy istnieje konkretny powód operacyjny i alternatywne zabezpieczenie.
Poinformuj użytkowników, kiedy polityka wejdzie w życie, którego dostawcę skonfigurować, gdzie wygenerować kody zapasowe i jak poprosić o pomoc. W przypadku dużego wdrożenia, rozszerz wdrożenie o grupy, zamiast przełączać cały serwer naraz. Daje to administratorom szansę na wykrycie brakujących członków grup, nieobsługiwanych klientów i problemów specyficznych dla dostawcy, zanim dotkną one wszystkich.
Administratorzy mogą również wymusić uwierzytelnianie dwuskładnikowe (2FA) za pomocą polecenia Nextcloud occ. Uruchom je z katalogu instalacyjnego Nextcloud jako konto serwera WWW; nazwa konta, polecenie PHP i ścieżka instalacji różnią się w zależności od hosta lub kontenera. Poniższe przykłady wykorzystują typowego użytkownika WWW systemu Linux, o www-dataktórym mowa w podręczniku Nextcloud:
sudo -E -u www-data php occ twofactorauth:enforce --onAby wymagać uwierzytelniania dwuskładnikowego dla wybranych grup, opcjonalnie wykluczając grupę kont usługowych, użyj:
sudo -E -u www-data php occ twofactorauth:enforce --on \
--group=staff --group=admins --exclude=service-accountsZastąp przykładowe identyfikatory grup i konto serwera WWW wartościami z Twojej instancji. Polecenie może wyłączyć wymuszanie, jeśli wdrożenie musi zostać wstrzymane:
sudo -E -u www-data php occ twofactorauth:enforce --offUżyj aktualnego odwołania do Nextcloud occ , aby potwierdzić składnię dla swojego wydania. W przypadku Dockera lub innego zarządzanego wdrożenia, wykonaj polecenie occw odpowiednim środowisku aplikacji, używając udokumentowanego użytkownika i polecenia tego wdrożenia; nie uruchamiaj przykładu na poziomie hosta bezmyślnie.
Jeśli użytkownik zgubi telefon lub klucz, na którym przechowywany jest jego czynnik, a także utraci kody zapasowe, może nie być w stanie się zalogować. Przed wymuszeniem procedury odzyskiwania należy przetestować ją na koncie niekrytycznym. Nextcloud udostępnia polecenia specyficzne dla dostawcy, occ twofactorauth:disableo twofactorauth:enableile dostawca je obsługuje; nie każdy dostawca obsługuje zmiany dla poszczególnych użytkowników. Aplikacja Two-Factor Admin Support to kolejna opcja odzyskiwania dla obsługiwanych wersji Nextcloud. Przed skorzystaniem z niej należy sprawdzić jej zgodność i stan instalacji.
Nie wyłączaj ani nie usuwaj dostawcy, którego użytkownicy już skonfigurowali, bez zaplanowania przejścia. NextCloud może zachować powiązania z dostawcami po usunięciu aplikacji, co może powodować błędy uwierzytelniania. W podręczniku administratora znajduje się polecenie czyszczenia dla dostawców, którzy zostali trwale usunięci; to czyszczenie jest nieodwracalne, więc używaj go tylko wtedy, gdy nie planujesz ponownego włączania danego dostawcy.
W przypadku klientów stacjonarnych i mobilnych, którzy nie mogą odpowiedzieć na interaktywny monit 2FA, użytkownicy powinni utworzyć hasła aplikacji w ustawieniach konta NextCloud i zaktualizować dane uwierzytelniające klienta. Dokumentacja NextCloud 35 stwierdza, że hasła aplikacji są obowiązkowe dla kont z włączonym 2FA. Sam test logowania w przeglądarce nie potwierdzi, że klienci synchronizacji i integracje nadal działają.
Przetestuj z użytkownikiem pilotażowym w oknie przeglądarki prywatnej lub po wylogowaniu. Wprowadź standardową nazwę użytkownika i hasło, a następnie sprawdź, czy NextCloud poprosi o skonfigurowany drugi składnik i zaakceptuje prawidłowy kod. Przetestuj kod zapasowy raz, jeśli pozwala na to Twoja procedura odzyskiwania, pamiętając, że kody zapasowe są jednorazowe. Następnie przetestuj aplikacje klienckie i integracje, od których zależy Twoja organizacja.
W przypadku konkretnego konta uruchom polecenie status z katalogu Nextcloud:
sudo -E -u www-data php occ twofactorauth:state usernameSprawdź, czy konto jest objęte zamierzoną polityką egzekwowania i czy wybrany dostawca jest aktywny. Jeśli wybrany użytkownik nie musi korzystać z uwierzytelniania dwuskładnikowego (2FA), sprawdź członkostwo w grupie i wykluczenia przed zmianą reguły globalnej. Konfiguracja jest zakończona, gdy docelowi użytkownicy zostaną wezwani do logowania, wykluczone konta zostaną ograniczone do udokumentowanych wyjątków, odzyskiwanie zostało przetestowane, a obsługiwani klienci będą mogli ponownie połączyć się przy użyciu haseł aplikacji.
Porównaj 10 narzędzi do pingowania, które umożliwiają szybkie wykrywanie sieci LAN, skanowanie międzyplatformowe i zarządzanie adresami IP. Dowiedz się, co narzędzie pingujące może Ci powiedzieć, a czego nie.
Porównaj sześć narzędzi do zarządzania siecią służących do monitorowania wydajności, obejmujących zasięg SNMP, mapowanie, alerty, modele wdrażania i kompromisy kosztów.
Porównaj siedem darmowych i otwartych monitorów pingów — od kompletnych pakietów sieciowych po ukierunkowane sondy opóźnień — i wybierz odpowiedni monitor pod kątem dostępności, utraty pakietów i historii.
Dowiedz się, co oznacza QoS w sieciach, w jaki sposób oznaczenia DSCP i kolejki ruchu nadają priorytet aplikacjom głosowym, wideo i biznesowym oraz czego QoS nie jest w stanie naprawić.
Porównaj niezawodne oprogramowanie serwera SFTP dla systemów Windows i Linux, w tym OpenSSH, Bitvise, SolarWinds i SFTPGo. Znajdź rozwiązanie odpowiednie dla swoich potrzeb w zakresie bezpieczeństwa i transferu plików.
Porównaj siedem narzędzi do zarządzania adresami IP służących do wykrywania podsieci, koordynacji DNS i DHCP, inwentaryzacji sieci i otwartego oprogramowania IPAM.
Porównaj sześć narzędzi do monitorowania systemu Windows Server pod kątem zbierania danych systemu Windows, widoczności aplikacji, modelu wdrażania i licencjonowania, aby znaleźć odpowiednie rozwiązanie.
Porównaj narzędzia do skanowania sieciowego umożliwiające szybkie wykrywanie urządzeń, skanowanie adresów IP na wielu platformach oraz zarządzanie IPAM w przedsiębiorstwie. Znajdziesz tu wskazówki dotyczące dopasowania każdej opcji do swojej sieci.
Zbuduj praktyczny monitoring sieci z przejrzystym zakresem urządzeń, przydatnymi wskaźnikami wydajności, przydatnymi alertami oraz porównaniem SolarWinds NPM, PRTG i OpManager.
Użyj opcji --traceroute programu Nmap, aby mapować przeskoki do autoryzowanego hosta, zrozumieć dane wyjściowe dotyczące przeskoków i czasu RTT oraz rozwiązywać problemy z brakującymi odpowiedziami bez nadmiernego skanowania.
