[Документация Yandex Cloud](../../index.md) > [Безопасность в Yandex Cloud](../index.md) > [Стандарт по защите и безопасному использованию Яндекс 360, версия 1.0.0](index.md) > Аутентификация и управление доступом

# Рекомендации для аутентификации и управления доступом

## Аутентификация и управление доступом

### Минимальное количество администраторов организации {#Y360-1}

**Y360-1**

[Организация 360](https://yandex.ru/support/yandex-360/business/admin/ru/org-admin) — логический контейнер в инфраструктуре Яндекс 360, объединяющий сотрудников, домены, группы и сервисы компании. Управление профилем организации, смена владельца, настройка доменов и работа с аудитными логами выполняются через кабинет администратора.

[Администраторы](https://yandex.ru/support/yandex-360/business/admin/ru/admin) обладают максимальными правами в организации Яндекс 360, включая управление настройками безопасности, доступом сотрудников и интеграциями. Чрезмерное количество администраторов увеличивает риск компрометации критически важных функций.

{% list tabs group=instructions %}

- Проверка в консоли Яндекс 360 {#yandex-360-console}

  1. [Войдите](https://admin.yandex.ru/) в аккаунт администратора организации.
  1. Перейдите на страницу [Сотрудники](https://admin.yandex.ru/users).
  1. В строке пользователей с правами администратора отображается значение **Администратор**, а их портреты отмечены соответствующей иконкой.

- Проверка через API {#API}

  Чтобы просмотреть список сотрудников, воспользуйтесь методом REST API [UserService_List](https://yandex.ru/dev/api360/doc/ru/ref/UserService/UserService_List) для ресурса [UserService](https://yandex.ru/dev/api360/doc/ru/ref/UserService/). Чтобы найти пользователей с правами администратора, отфильтруйте результат по параметру `isAdmin: true`.

{% endlist %}

**Инструкции по выполнению:**

* Ограничьте число администраторов до одного (или минимально необходимого количества).
* Для остальных пользователей с административными задачами используйте роли с ограниченными правами. Подробнее читайте в [документации](https://yandex.ru/support/yandex-360/business/admin/ru/accounts).

### Для доменных пользователей и пользователей Яндекс ID используется второй фактор {#Y360-3}

**Y360-3**

Для повышения безопасности доступа к корпоративным сервисам Яндекс 360 используйте двухфакторную аутентификацию (2FA) для всех доменных пользователей и пользователей с Яндекс ID. Это означает, что для входа в учетную запись потребуется не только обычный пароль, но и одноразовый код, полученный по телефону или через SMS. Такой подход существенно снижает риск несанкционированного доступа даже в случае компрометации пароля.

{% list tabs group=instructions %}

- Проверка в консоли Яндекс 360 {#yandex-360-console}

  1. [Войдите](https://admin.yandex.ru/) в аккаунт администратора организации.
  1. Выберите в меню **Безопасность** → **Подтверждение входа**.
  1. Задайте необходимые настройки:

      * **Кому включить** — укажите `Всем сотрудникам`, если включаете подтверждение сразу на всю организацию, или `Выбранным сотрудникам`, если хотите настроить его персонально;
      * **Срок предупреждения** — время, которое отводится пользователям для настройки подтверждения входа. Когда этот период закончится, сотрудники больше не смогут отложить настройку.

      {% note info %}

      Настройка **Метод проверки** недоступна для редактирования. Приоритет отдается получению кода через звонок на телефон. СМС используется только если звонок недоступен.

      {% endnote %}

  1. Нажмите **Включить**.

  1. Если вы включаете подтверждение входа отдельным пользователям, [выберите](https://yandex.ru/support/yandex-360/business/admin/ru/security/set-2fa#select-users) нужных сотрудников.

  1. Если вы включаете подтверждение входа всем сотрудникам организации, вы можете принудительно завершить сессии для аккаунтов всех пользователей.

- Проверка через API {#API}

  1. Чтобы получить статус настройки 2FA для организации, воспользуйтесь методом REST API [Domain2FAService_Get](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/Domain2FAService_Get) для ресурса [Domain2FAService](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/). Убедитесь, что опция 2FA активна для всех доменных пользователей либо для выбранных сотрудников согласно политике.

  1. Чтобы получить статус настройки 2FA для каждого доменного пользователя, воспользуйтесь методом REST API [UserService_Get2fa](https://yandex.ru/dev/api360/doc/ru/ref/UserService/UserService_Get2fa) для ресурса [UserService](https://yandex.ru/dev/api360/doc/ru/ref/UserService/). Убедитесь, что в теле ответа параметр `twofaEnabled` имеет значение `true`.

  1. Чтобы проверить, что у доменных пользователей отсутствует возможность отложить включение второго фактора, воспользуйтесь методом REST API [Domain2FAService_Disable](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/Domain2FAService_Disable) для ресурса [Domain2FAService](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/). Убедитесь, что нет пользователей с активной отсрочкой включения 2FA.

      {% note info %}

      Чтобы проверить пользователей с Яндекс ID, используйте доступные механизмы проверки через Яндекс ID.

      {% endnote %}

{% endlist %}

**Инструкции по выполнению:**

[Настройте](https://yandex.ru/support/yandex-360/business/admin/ru/security/set-2fa#on) двухфакторную аутентификацию для всех сотрудников, использующих Яндекс ID или доменные учетные записи Яндекс 360. Это минимальный стандарт безопасности, который необходимо внедрять во всех организациях, работающих с защищенной или критичной информацией.

### В организации включена парольная политика {#Y360-6}

**Y360-6**

В организации должна быть активирована политика управления паролями: пользователи должны менять пароль не реже одного раза в полгода. Это дополнительная мера безопасности, необходимая на случай, если двухфакторная аутентификация не внедрена или используется не для всех пользователей.

{% list tabs group=instructions %}

- Проверка через API {#API}

  Чтобы получить параметры парольной политики, воспользуйтесь методом REST API [DomainPasswordsService_Get](https://yandex.ru/dev/api360/doc/ru/ref/DomainPasswordsService/DomainPasswordsService_Get) для ресурса [DomainPasswordsService](https://yandex.ru/dev/api360/doc/ru/ref/DomainPasswordsService/). Убедитесь, что в теле ответа параметр `enabled` имеет значение `true`, а значение параметра `changeFrequency` составляет не более 180 дней.
  
  **Пример ответа:**

   ```json
   {"changeFrequency":180,"enabled":true}
   ```
  
  Если `enabled: false` или `changeFrequency > 180`, политика не соответствует проверке Y360-6.

{% endlist %}

**Инструкции по выполнению:**

[Установите](https://yandex.ru/dev/api360/doc/ru/ref/DomainPasswordsService/DomainPasswordsService_Update.html) параметры парольной политики так, чтобы срок действия пароля составлял не более 180 дней, и проверьте, что пользователи действительно могут менять пароль.

### Учетная запись владельца организации имеет средства восстановления {#Y360-9}

**Y360-9**

Учетная запись владельца организации должна иметь механизмы восстановления доступа:

  1. Привязанный номер телефона (secure phone) — для восстановления через SMS или звонок.
  1. Двухфакторная аутентификация (2FA) — обязательный дополнительный фактор.
  
      Особенности:
  
      * для доменных пользователей проверка выполняется через API;
      * для аккаунтов на Яндексе (`@yandex.ru`) требуется ручная проверка (API недоступен).

{% list tabs group=instructions %}

- Проверка в консоли Яндекс 360 {#yandex-360-console}

  1. [Войдите](https://admin.yandex.ru/) в аккаунт администратора организации.
  1. Проверьте вручную в настройках безопасности:
      * наличие привязанного телефона;
      * активированную 2FA.

- Проверка через API {#API}

  1. Чтобы проверить, что учетная запись владельца организации имеет механизмы восстановления доступа, воспользуйтесь методом REST API [UserService_Get](https://yandex.ru/dev/api360/doc/ru/ref/UserService/UserService_Get) для ресурса [UserService](https://yandex.ru/dev/api360/doc/ru/ref/UserService/). Убедитесь, что в теле ответа параметры `has_security_phone` и `2fa_enabled` установлены в `true`.
  
  1. Чтобы проверить глобальные настройки 2FA в организации, воспользуйтесь методом REST API [Domain2FAService_Get](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/Domain2FAService_Get) для ресурса [Domain2FAService](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/). Убедитесь, что в теле ответа параметр `enabled` имеет значение `true 2FA`.

{% endlist %}

**Инструкции по выполнению:**

{% list tabs group=instructions %}

- Консоль Яндекс 360 {#yandex-360-console}

  1. [Войдите](https://admin.yandex.ru/) в аккаунт администратора организации.
  1. Выберите в меню **Безопасность** → **Подтверждение входа**.
  1. Задайте необходимые настройки:
        
      * **Кому включить** — укажите `Всем сотрудникам`.
    
  1. Нажмите кнопку **Включить**.
  
  Для аккаунтов на Яндексе передайте владение организацией доменному пользователю.

- API {#API}

  Чтобы включить 2FA для доменного аккаунта, воспользуйтесь методом REST API [Domain2FAService_Enable](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/Domain2FAService_Enable) для ресурса [Domain2FAService](https://yandex.ru/dev/api360/doc/ru/ref/Domain2FAService/).

{% endlist %}