Extension:OATHAuth

混同しないでください: Extension:OAuth.

この拡張機能は MediaWiki 1.31 以降に同梱されています。 そのため再度ダウンロードする必要はありません。 しかし、提供されているその他の手順に従う必要はあります。

MediaWiki 拡張機能マニュアル

OATHAuth リリースの状態: 安定
実装	利用者権限 , 特別ページ , ページの操作
説明	ログインする際の二段階認証を可能にします。
作者	Ryan Lane
最新バージョン	継続的な更新
互換性ポリシー	master
MediaWiki	1.29+
データベースの変更	はい
テーブル	oathauth_users
ライセンス	GPL-2.0-or-later AND GPL-3.0-or-later
ダウンロード	拡張機能をダウンロード Git [?]: Git master をダウンロード リポジトリを参照 (GitHub) コミット履歴 repository contributors (GitHub) コード レビュー
パラメーター $wgOATHExclusiveRights $wgOATHAuthWindowRadius $wgOATHAuthSecret $wgOATHAuthAccountPrefix $wgOATHAuthDatabase
追加する権限 oathauth-enable oathauth-api-all oathauth-disable-for-user oathauth-verify-user oathauth-view-log
使用するフック AuthChangeFormFields GetPreferences LoadExtensionSchemaUpdates TwoFactorIsEnabled getUserPermissionsErrors
translatewiki.net で翻訳を利用できる場合は、OATHAuth 拡張機能の翻訳にご協力ください
使用状況とバージョン マトリクスを確認してください。
問題点	未解決のタスク · バグを報告

The OATHAuth extension is a time-based one-time password (TOTP) implementation. この拡張機能は二要素認証を提供します。 クライアントのサポートは、ほとんどの機器に対応しています。詳しくはClient implementationsを参照してください。

この拡張機能はOAuthとは別のものです。OAuthとは何の関係もありません。

使用法

The help page on Two-factor authentication provides information for end users on how to use this extension. ただし、特別ページでは利用者にも案内しています。

インストール

• ダウンロードして、ファイルを extensions/ フォルダー内の OATHAuth という名前のディレクトリ内に配置します。
• Git でのインストールの場合のみ、PHP の依存関係をインストールするため Composer を実行します。 (See タスク T173141 for potential complications.)
• 以下のコードを LocalSettings.php の末尾に追加します:

  wfLoadExtension( 'OATHAuth' );
  

• 更新スクリプトを実行します。このスクリプトは、この拡張機能が必要とするデータベース テーブルを自動的に作成します。
• 必要に応じて設定します。
•  完了 – ウィキの「Special:Version」に移動して、拡張機能が正しくインストールされたことを確認します。

設定の構成

パラメーター

構成フラグ	既定値	説明
$wgOATHAuthWindowRadius	4	The number of token windows in each direction that should be valid. 実質的に((1 + 2 * $wgOATHAuthWindowRadius) * 30)秒の範囲でトークンを受け入れるよう、OATHに指示します。 有効なウィンドウの範囲は、現在時刻を中心にしています。 この変数は、利用者の時間とサーバーの時間の違いを考慮することを目的としています。 ただし、できるだけ少なくすることをおすすめします。
$wgOATHAuthDatabase	false	データベースのドメイン。 複数のデータベースでのみ使用されます。
$wgOATHAuthSecret	false	全暗号化キーの派生元であるこのWikiの基本OATHAuthシークレット。 falseの場合、$wgSecretKeyを使用します。
$wgOATHAuthAccountPrefix	false	OATHAuthのアカウント名に使用される接頭辞と、アカウントに適用される発行者。 falseの場合、$wgSitenameを使用します。
$wgOATHExclusiveRights	[]	Set of permissions that are revoked from users who did not log in using two-factor authentication.

OATHAuth also adds a key to the $wgRateLimits array to define rate limits for authentication attempts:

		'badoath' => [
			'&can-bypass' => false,
			'user' => [ 10, 60 ],
			'user-global' => [ 10, 60 ],
		]

Note that the user-global key is available only since 1.35. Earlier version have to rely on user and perhaps ip-all. See the documentation of $wgRateLimits for details.

利用者権限

OATHAuthへのアクセス権限

Users should be given access to the oathauth-enable user right so that they can enable it at Special:OATHAuth (a link to which appears at Special:Preferences).

$wgGroupPermissions['user']['oathauth-enable'] = true;

上記から、全登録利用者にOATHAuthを有効にするためのアクセス権限が付与されます。

管理

ユーザートークンのリセット

In the event that a user both loses their token generator AND the recovery tokens; two-factor authentication may be removed from the user by deleting their row from the oathauth_users database table. A sysadmin with shell access may type on a command line cd /path/to/mediawiki/extensions/OATHAuth/maintenance/ and then execute php disableOATHAuthForUser.php "username" where "username" is the user to have 2FA disabled to have it disabled.

関連項目

• Wikimedia Security Team/Two-factor Authentication for CentralAuth wikis
• Two-factor authentication (TFA)
• Extension:WebAuthn