Nextcloud 사용자에게 2단계 인증을 요구하세요

Nextcloud에서 2단계 인증(2FA)을 적용하려면 먼저 하나 이상의 2FA 제공업체를 활성화한 다음, 관리 설정 → 보안 에서 적용을 켜 거나 occ twofactorauth:enforce명령어를 사용하십시오. 제공업체는 인증 앱에서 발급하는 일회용 코드와 같이 두 번째 신원 확인을 제공하는 방법입니다. 적용을 활성화하면 선택한 범위에 대해 2FA가 필수적으로 적용됩니다. 단순히 제공업체를 설치하는 것만으로는 2FA가 의무화되지 않습니다. 이러한 단계는 최신 Nextcloud 35 관리 설명서를 따릅니다.

법 집행 변경 사항을 숙지하세요.

Nextcloud는 인증 제공업체의 가용성과 2단계 인증(2FA) 사용 필수 조건을 분리합니다. 관리자는 먼저 인증 제공업체를 활성화해야 하며, 그 후에 사용자가 자신의 계정에서 인증 방법을 활성화하거나, 관리자가 2단계 인증을 강제 적용하여 사용자가 설정을 완료해야 합니다. 내장된 TOTP(Time To Pass) 제공업체는 호환되는 인증 앱에서 생성된 시간 기반 코드를 지원합니다. Nextcloud 35에서는 기본적으로 설치되어 있지만 비활성화되어 있습니다. 백업 코드 제공업체는 항상 활성화되어 있으며 사용자에게 일회용 복구 코드를 제공합니다.

대규모 그룹에 대한 요구 사항을 활성화하기 전에 모든 계정에 적용할지 아니면 시범 그룹에만 적용할지 결정하십시오. 또한 서비스, 통합 및 비상 관리자 계정을 식별하십시오. 포괄적인 규칙은 아직 등록하지 않았거나 인증 지점에 접근할 수 없는 사용자의 액세스를 차단할 수 있습니다. Nextcloud 공식 가이드에는 그룹 선택 및 제외에 대한 설명이 나와 있으며, 사용자가 제외된 그룹에 속해 있는 경우 선택된 그룹의 멤버십이 우선 적용됩니다. 정책을 적용하기 전에 멤버십을 검토하십시오.

서비스 제공자와 회복 경로를 준비하세요.

1. Nextcloud 관리자 계정으로 로그인하고 앱을 엽니다 . 인증 코드를 사용하려면 2단계 인증(TOTP) 공급자를 활성화하세요. 메뉴 레이아웃은 지원되는 서버 버전 및 테마에 따라 약간씩 다를 수 있습니다.
2. 백업 코드 제공업체를 항상 이용 가능한 상태로 유지하세요. 파일럿 사용자에게 개인 설정에 들어가 2단계 인증을 구성하고 백업 코드를 생성하도록 요청하십시오. Nextcloud 사용자 설명서에서는 일회용 코드를 인증 장치와는 별도로 안전한 곳에 보관할 것을 권장합니다.
3. 별도의 브라우저 세션에서 해당 사용자의 로그인을 테스트하세요. 로그아웃 후 다시 로그인하여 2단계 인증 프롬프트에서 최신 코드를 인식하는지 확인합니다. 사용자가 데스크톱 또는 모바일 클라이언트를 사용하는 경우 해당 클라이언트의 로그인 흐름도 검토해야 합니다. Nextcloud는 2단계 인증을 지원하지 않는 클라이언트의 경우 기기별 암호가 필요할 수 있다고 안내합니다.

사용자가 이미 등록한 공급자를 마이그레이션 계획 없이 비활성화하거나 제거하지 마십시오. 관리자 설명서에는 Nextcloud가 공급자 연결을 유지하므로 앱을 제거하면 사용자가 로그인 시 '사용 불가' 경고를 볼 수 있다고 명시되어 있습니다. 공급자를 영구적으로 제거한 경우 문서화된 정리 절차를 참조하고 해당 작업이 되돌릴 수 없음을 이해해야 합니다.

관리자 인터페이스에서 2단계 인증(2FA)을 강제 적용합니다.

1. 관리자 설정 → 보안을 엽니다 .
2. 2단계 인증 적용 제어 기능을 찾으세요. 시스템 전체에 2단계 인증을 적용할지 여부를 선택하고, 2단계 인증을 사용해야 하는 그룹을 지정하고, 정책에 따라 예외를 추가하세요.
3. 인터페이스에 저장 컨트롤이 표시되면 설정을 저장하거나 적용한 다음, 적용된 범위 내의 일반 계정과 적용 범위 외부의 계정을 테스트하십시오.

그룹을 선택하지 않으면 Nextcloud는 제외 그룹 구성원을 제외한 모든 사용자에게 2단계 인증(2FA)을 적용합니다. 그룹을 선택하면 해당 그룹 구성원에게 2FA가 적용됩니다. 사용자가 선택된 그룹과 제외 그룹 모두에 속하는 경우, 선택된 그룹이 우선 적용되므로 2FA 요구 사항이 여전히 유효합니다. 따라서 2FA 적용을 활성화하기 전에 중첩되거나 동기화된 그룹 구성원 관계를 확인하는 것이 중요합니다.

반복 가능한 정책이 필요할 때 occ를 사용하십시오.

occ`nextcloud`는 Nextcloud의 명령줄 관리 도구입니다. Nextcloud 설치 디렉터리에서 웹 서버 사용자로 명령을 실행하십시오. 사용자 이름과 경로는 설치 방법에 따라 다를 수 있습니다. 아래 예제에서는 문서화된 Debian 또는 Ubuntu 스타일 계정을 사용합니다 www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

그룹 ID와 사용자 ID를 서버에 존재하는 값으로 바꾸세요. 예시 정책은 staff및 그룹 구성원에 대해 2FA를 적용하지만 admins, 서비스 계정을 제외하는 것이 보편적인 권장 사항은 아닙니다. 계정을 제외하기 전에 해당 계정의 인증 방식과 이를 보호하는 보완 제어 장치를 결정해야 합니다. Nextcloud에서는 --off적용을 비활성화하는 방법을 안내하지만, 이는 테스트 목적이 아닌 계획된 롤백 용도로 사용해야 합니다.

sudo -E -u www-data php occ twofactorauth:enforce --off

최신 구문은 Nextcloud 35 공식 사용자 및 그룹 명령 참조를 확인하세요 . 컨테이너화된 설치, Snap 설치 및 기타 설치 환경에서는 다른 명령 접두사 또는 실행 컨텍스트가 필요할 수 있습니다. 예제를 그대로 복사하지 말고 배포 환경에 맞는 지침을 따르세요.

배포를 검증하고 잠금 현상을 방지하세요

대표 사용자에 대한 적용 상태를 확인하려면 다음 명령을 사용하십시오 occ twofactorauth:state <uid>. 그런 다음 적용된 사용자에 대해 일반 브라우저 로그인을 테스트하고 Nextcloud에서 구성된 인증 요소를 요구하는지 확인합니다. 제외된 사용자는 예외가 의도적인 경우에만 확인하십시오. 복구 코드는 안전하게 보호하고 정책을 확장하기 전에 관리자가 문서화된 복구 경로를 숙지하도록 하십시오.

사용자가 인증 요소를 분실한 경우, Nextcloud는 해당 공급자가 지원하는 경우 해당 사용자에 대해 2단계 인증(2FA)을 비활성화할 수 있는 공급자별 관리자 명령을 제공합니다 sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. 이는 복구 조치이며, 모든 사용자에 대한 인증 강도를 약화시키는 방법이 아닙니다. 공식 설명서에는 지원되는 상황에서 일회용 로그인 코드를 발급할 수 있는 별도의 2단계 인증 관리자 지원 앱에 대한 설명도 있습니다. 해당 앱을 사용하기 전에 설치된 버전과 공급자에 맞는 적절한 방법을 확인하십시오.

자세한 내용은 Nextcloud 35 관리자 가이드의 2단계 인증 관련 내용 과 Nextcloud 35 사용자 가이드의 등록 및 백업 코드 관련 내용을 참조하십시오. 공급자 가용성 및 정확한 인터페이스 레이블은 Nextcloud 버전과 활성화된 앱에 따라 달라질 수 있으므로 모든 사용자에게 2단계 인증을 적용하기 전에 인스턴스에서 확인하십시오.