Erzwingen Sie die Zwei-Faktor-Authentifizierung für Nextcloud-Benutzer

Um die Zwei-Faktor-Authentifizierung (2FA) in Nextcloud zu erzwingen, aktivieren Sie zunächst mindestens einen 2FA-Anbieter. Anschließend schalten Sie die Erzwingung unter „Administration“ → „Sicherheit“ ein oder verwenden Sie den occ twofactorauth:enforceentsprechenden Befehl. Ein Anbieter ist die Methode, die den zweiten Identitätsnachweis liefert, beispielsweise einen Einmalcode von einer Authentifizierungs-App. Die Erzwingung macht 2FA für den von Ihnen gewählten Bereich obligatorisch; die bloße Installation eines Anbieters reicht dafür nicht aus. Diese Schritte entsprechen dem aktuellen Nextcloud-Administrationshandbuch (Version 35).

Informieren Sie sich über die Änderungen der Durchsetzungsmaßnahmen.

Nextcloud trennt die Verfügbarkeit von Authentifizierungsanbietern von der Zwei-Faktor-Authentifizierung (2FA). Administratoren aktivieren zunächst einen Anbieter; anschließend aktiviert ein Benutzer eine Methode in seinem Konto, oder ein Administrator erzwingt die 2FA, sodass Benutzer die Einrichtung abschließen müssen. Der integrierte TOTP-Anbieter unterstützt zeitbasierte Codes, die von einer kompatiblen Authentifizierungs-App generiert werden. In Nextcloud 35 ist er installiert, aber standardmäßig deaktiviert. Der Backup-Code-Anbieter ist immer aktiviert und stellt Benutzern einmalige Wiederherstellungscodes zur Verfügung.

Bevor Sie eine Anforderung für eine große Gruppe aktivieren, entscheiden Sie, ob diese für alle Konten oder nur für eine Pilotgruppe gilt. Legen Sie außerdem Service-, Integrations- und Notfalladministratorkonten fest. Eine zu weit gefasste Regel kann den Zugriff für Benutzer unterbrechen, die sich noch nicht registriert haben oder ihren Faktor nicht erreichen können. Die offizielle Nextcloud-Anleitung beschreibt die Gruppenauswahl und -ausschlüsse; die Mitgliedschaft in einer ausgewählten Gruppe hat Vorrang, wenn ein Benutzer auch Mitglied einer ausgeschlossenen Gruppe ist. Überprüfen Sie die Mitgliedschaften, bevor Sie eine Richtlinie anwenden.

Bereiten Sie einen Anbieter und einen Genesungspfad vor

1. Melden Sie sich als Nextcloud-Administrator an und öffnen Sie „Apps“ . Aktivieren Sie den Zwei-Faktor-TOTP-Anbieter, wenn Sie Authentifizierungscodes verwenden möchten. Das genaue Menülayout kann je nach unterstützter Serverversion und Design leicht variieren.
2. Halten Sie den Anbieter der Backup-Codes erreichbar. Bitten Sie einen Testnutzer, die persönlichen Einstellungen zu öffnen, einen zweiten Faktor zu konfigurieren und Backup-Codes zu generieren. Das Nextcloud-Benutzerhandbuch empfiehlt, die Einmalcodes sicher und getrennt vom Authentifizierungsgerät aufzubewahren.
3. Testen Sie die Anmeldung des Nutzers in einer separaten Browsersitzung: Melden Sie sich ab, melden Sie sich wieder an und prüfen Sie, ob die Zwei-Faktor-Authentifizierung einen gültigen Code akzeptiert. Falls Ihre Nutzer Desktop- oder mobile Clients verwenden, überprüfen Sie auch deren Anmeldevorgang. Nextcloud weist darauf hin, dass Clients, die keine Zwei-Faktor-Authentifizierung unterstützen, möglicherweise gerätespezifische Passwörter benötigen.

Deaktivieren oder deinstallieren Sie einen Anbieter, für den sich Benutzer bereits angemeldet haben, nicht ohne vorherige Migrationsplanung. Das Administratorhandbuch weist darauf hin, dass Nextcloud die Anbieterzuordnungen beibehält; die Entfernung der App kann dazu führen, dass Benutzern beim Anmelden eine Warnung bezüglich eines nicht verfügbaren Faktors angezeigt wird. Wenn ein Anbieter dauerhaft entfernt wird, konsultieren Sie die dokumentierte Bereinigungsprozedur und beachten Sie, dass dieser Vorgang unwiderruflich ist.

Zwei-Faktor-Authentifizierung in der Administratorschnittstelle erzwingen

1. Öffnen Sie die Administrationseinstellungen → Sicherheit .
2. Suchen Sie die Steuerelemente zur Durchsetzung der Zwei-Faktor-Authentifizierung. Legen Sie fest, ob 2FA systemweit erzwungen werden soll, wählen Sie die Gruppen aus, die sie verwenden müssen, und fügen Sie Ausnahmen nur dort hinzu, wo Ihre Richtlinie dies erfordert.
3. Speichern oder wenden Sie die Einstellung an, falls die Benutzeroberfläche eine Speicheroption bietet. Testen Sie anschließend ein reguläres Konto innerhalb des festgelegten Bereichs und ein Konto außerhalb dieses Bereichs.

Wenn keine Gruppen ausgewählt sind, erzwingt Nextcloud die Zwei-Faktor-Authentifizierung (2FA) für alle Nutzer außer Mitgliedern ausgeschlossener Gruppen. Werden Gruppen ausgewählt, gilt die 2FA für deren Mitglieder. Gehört jemand sowohl einer ausgewählten als auch einer ausgeschlossenen Gruppe an, hat die ausgewählte Gruppe Vorrang, die 2FA-Anforderung bleibt also bestehen. Daher ist es wichtig, verschachtelte oder synchronisierte Gruppenmitgliedschaften zu prüfen, bevor die 2FA-Erzwingung aktiviert wird.

Verwenden Sie occ, wenn Sie eine wiederholbare Richtlinie benötigen.

occist das Kommandozeilen-Verwaltungstool von Nextcloud. Führen Sie Befehle aus dem Nextcloud-Installationsverzeichnis als Webserver-Benutzer aus; Benutzername und Pfad können je nach Installationsmethode variieren. Die folgenden Beispiele verwenden das dokumentierte Debian- oder Ubuntu-Benutzerkonto www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Ersetzen Sie die Gruppen-IDs und die Benutzer-ID durch Werte, die auf Ihrem Server vorhanden sind. Die Beispielrichtlinie erzwingt die Zwei-Faktor-Authentifizierung für Mitglieder von „Gruppe 1“ staffund admins„Gruppe 2“. Es ist keine allgemeine Empfehlung, Dienstkonten auszuschließen. Schließen Sie ein Konto erst dann aus, nachdem Sie festgelegt haben, wie es sich authentifiziert und welche kompensierenden Sicherheitsmaßnahmen es schützen. Nextcloud dokumentiert --offdie Deaktivierung der Erzwingung, verwenden Sie dies jedoch als geplanten Rollback und nicht als Ersatz für Tests.

sudo -E -u www-data php occ twofactorauth:enforce --off

Die aktuelle Syntax finden Sie in der offiziellen Nextcloud 35-Befehlsreferenz für Benutzer und Gruppen. Containerisierte, Snap-basierte und andere Installationen erfordern möglicherweise ein anderes Befehlspräfix oder einen anderen Ausführungskontext. Befolgen Sie daher die Anweisungen für Ihre Bereitstellung, anstatt das Beispiel wörtlich zu kopieren.

Überprüfen Sie die Einführung und vermeiden Sie Aussperrungen.

Überprüfen Sie den Durchsetzungsstatus für repräsentative Benutzer occ twofactorauth:state <uid>. Testen Sie anschließend die Anmeldung eines betroffenen Benutzers über einen normalen Browser und bestätigen Sie, dass Nextcloud einen konfigurierten Faktor erfordert. Überprüfen Sie einen ausgeschlossenen Benutzer nur, wenn die Ausnahme beabsichtigt ist. Schützen Sie Wiederherstellungscodes und stellen Sie sicher, dass Administratoren den dokumentierten Wiederherstellungsweg kennen, bevor Sie die Richtlinie erweitern.

Verliert ein Benutzer seinen Faktor, bietet Nextcloud einen anbieterspezifischen Verwaltungsbefehl, um die Zwei-Faktor-Authentifizierung (2FA) für diesen Benutzer zu deaktivieren, sofern der Anbieter dies unterstützt sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Dies ist eine Wiederherstellungsmaßnahme und keine Möglichkeit, die Durchsetzung der 2FA für alle zu schwächen. Das offizielle Handbuch beschreibt außerdem eine separate App zur Unterstützung der Zwei-Faktor-Authentifizierung, die in unterstützten Fällen einen einmaligen Anmeldecode generieren kann. Prüfen Sie die für Ihre installierte Version und Ihren Anbieter geeignete Methode, bevor Sie sich darauf verlassen.

Ausführliche Informationen finden Sie im Nextcloud 35-Administratorhandbuch zur Zwei-Faktor-Authentifizierung und im Nextcloud 35-Benutzerhandbuch zu Registrierungs- und Sicherungscodes . Die Verfügbarkeit der Anbieter und die genauen Bezeichnungen der Benutzeroberfläche können von Ihrer Nextcloud-Version und den aktivierten Apps abhängen. Prüfen Sie diese daher in Ihrer Instanz, bevor Sie die Zwei-Faktor-Authentifizierung für alle Benutzer aktivieren.