20210302 Referat

Referat

• Elizabeth Santos (Fravær)
• Audun Lea Hansen
• Jan Andreassen
• Arild Marthinsen
• Ola Ødegård
• Unni Berget
• Einar Ljønes (Fravær)

Statusgjennomgang

SAK 7 Mange krasj i UBW TSene

Det har vært mange krasj i TSene. Noen ganger 70 krasj, og noen dager rolig. Betyr ikke at brukerne merker noe. Samler inn info (når og hva) og sender Arribatec.

6.10.2020 USIT (Arild) sender over info til Arribatec og følger opp. Unni orienterer intern i Unit.

10.11.2020: Det skjer fortsatt,fra noen få. Er det noe nettverksrelatert? Arild og Audun snakker sammen.

18.1.2021 Fortsatt mange krasj. Mer av i aktive perioder, ofte på ettermiddagen. kl 17 og kl 19?

18.1.2021 Jan: Arribatec oppdaget feil som ble rettet, ble noe ferre feil. Jan følger opp Arribatec

2.3.2021 Status er færre krasj, virker mer stabilt. Har Unit hørt noe fra institisjonene?

UBW Error report 60 dager.

Senges, men åpnes igjen ved behov.

SAK 5-2020 NMBU ønsker IP sperring på sin UBW installasjon.

https://rt.uio.no/Ticket/Display.html?id=3669449

11.3.2020

Remoteløsninger er innført hos NMBU. IP-filtrering. Dette innebærer at ansatte kun kan jobbe direkte mot kontor PC, ikke hjemmefra. Da må kiosk eller RDP/Citriix benyttes

Endringer for hele sektoren? 

5.11. Vi stengte ned IP-range, og da gikk det dårlig.Måtte åpne opp igjen. NMBU skal de gi beskjed hvilke ip som skal blokkeres. For konsulenter benyttes Citrix

18.1.2021 Arild orienterer om NMBUs løsning og om dette er noe for sektoren.

Uten VPN så kan ikke Appene benyttes

2.3.2021 løsningen fungerer, men det litt tungvindt å melde inn konsulenter. Ingen løsning for sektoren

Saken  lukkes

SAK 8-2020 Innføring av 2FA i sektoren

6.10.2020 Det bør settes i gang en prosess for å innfører to-faktor autentisering for alle brukerne av UBW.

18.1.2021: Arild: Unit4 og Arribatec har ikke stor kunnskap eller løsning som støtter.

Unit bør vurdere om dette skal/bør innføres for hele sektoren.Utredes av Unit.

2.3.2021 Arild har sendt 8 mulig alternativer på dette (se nedenfor), men det er ingen ideell løsning på dette. 

USIT har tittet på ett par løsninger som er kompatible med slik oppsettet er pr nå men har ikke funnet noen løsning som enkelt kan implementeres mot hvordan ting er satt opp.

Bakgrunnen er at mange av løsningene som er satt opp ønsker en gateway som snakker med en Radius server hos den enkelte institusjonen. Bakgrunnen for at løsningene benytter en gateway er for å få kontakt med en autentiserings-løsningen i bakkant (f.eks Radius-serveren).

USIT har vurdert:

1. Citrix Saml 2.0
   1. Ikke mulig mtp dagen miljø. Da må vi gå tilbake til Citrix løsningen, men denne er forholdsvis dyr løsning men man kan lettere legge til citrix sine egne komponenter (dog da mot en ekstra-kostnad pr modul).
2. Vmware VDI med Saml 2.0
   1. Igjen, omgjøring av større deler av allerede eksisterende løsning. SAML 2.0 kan vi legge til VDI men da må det gjøres ett kostnads-forhold mtp Vmware VDI lisenser.
3. Feide med 2 faktor (eneste som fungerer er Citrix som vi vet om, men TrueSSO skal i teorien fungere mot vmware).
   1. Dette er en mulighet, men det må gjøres en større omkonfigurering rundt innlogging-siden da Microsoft ikke støtter Feide ut av boksen. Det må legges på ett ekstra lag med Autentisering i bakkant av innloggings-siden. Dette er noe som må gjennomføres av egne konsulenter som har kunnskap om dette da USIT ikke besitter dette.
4. Reverse-proxy via feide ved bruk av html5.
   1. Det har vært ønske om å prøve å gå over til HTML5 rundt innlogging med en reverse-proxy tanke. Dette kan være en mulighet da vi vet at 2019 server (som FS nå har oppdatert til) støtter HTML5, men en større jobb rundt omlegging av systemet må igjen utføres her. Dette må forskes mer på.
5. VNC med 2fa.
   1. VNC er ikke en system som USIT pr idag benytter og som vi ei heller ønsket å åpne for.
6. Fudo som konsulenter har pr idag
   1. Lisens-kostnaden rundt dette ville vært skyhøy, og da disse systemene er laget for å kunne verifisere hva som er gjort i etterkant (altså video-opptak eller skjermbilder), så vil vi måtte gå opp ett løp rundt personvern.
7. Windows Hello. (finger-avtrykk?)
   1. Dette er en mekaniske hos laptopper og det er ikke alle laptopper som har dette lagt inn. Da ikke alle laptopper har dette, og det ikke kjøpes inn over en felles avtale så vil ikke alle ha samme modell og muligheten rundt dette vil falle fra
8. Powershell mulighet for å kode dette mot en 2 faktor-powershell. SMS mot telefon-nummer i AD. Powershell og en Random number generator som vi godkjenner.
   1. Her må det i så fall kodes en god del og den vil være lett å gå forbi da fler benytter seg av RemoteApp`er (som gjør at FS blir tilgjengleig fra startmenyen til brukeren. Denne omgår powershell koden som benyttes og kan kombineres med SSO fra institusjonen).
9. QR kode / kort-kode / Google Standalone 2fa / Microsoft Azure 2FA som benyttes som verifiserings.
   1. QR kode som blir vist finnes det mange muligheter av, men da må det gjøres en større bakgrunns-jobb rundt innlogging. Vi må også pålegge alle brukere å benytte QR kode-scanner mot skjerm eller lignende. Dette er muligens  en løsning som kan ettergås mer, men igjen så tror jeg at problemet vil ligge mot multi-trust oppsettet som er blitt utført (som nå er UHAD).
10. Epost-verifisering. (?)
    1. Dette er ikke ekte 2-faktor da som regel man bestitter mail-innlogging når man logger inn på kiosken og kan med enkelhet manipulere dette.
11. Ip-sperringer på alle skoler
    1. Dette er ikke direkte en 2MF, men en begrensning. USIT kan sette opp IP-sperrer for alle skoler som er intresert, men da betyr det at man IKKE kan gå utenfor disse sonene når man skal logge inn. Det er heller ikke mulighet for å forandre disse i hyppig grad. Velger man å tillate tilgang fra kun insitusjonen, så må en VPN hos skolen settes opp eller lignende. VPN starter å bli en eldre teknologi og som er på vei ut, så DirectAccess er kanskje det som må sees på. (Igjen, ikke en 2F / MF løsning, men en tanke rundt innstramming).

Mye stoppes av hvordan UHAD i sin tid ble satt opp. Det at vi ikke benytter oss av en Gateway tanke gjør, og at vi ikke bestitter administrator-tilgang i andre domener for oppslag mot Radius-serveren til andre institusjoner gjør at dette vil være vanskelig. En standalone 2MF (f.eks QR kode eller lignende) vil være en mulighet som må sees nærmere på, men hvordan dette integreres og benyttes mot personer som har FS lagt til i startmenyen sin etc er uvisst.

Vi vurdrerer å sende en epost til Microsoft Norge for å høre om de har en ide på hvordan vi kan utføre dette mtp Multi-tenant scenario som vi besitter med UHAD, men vi ønsker også å se om det finnes andre løsninger i forkant.

Eventuelt

Unity purrer på Audit-logging fra UBW.