Двухфакторная аутентификация для команды администраторов сервера

MAATRIX GAMES

Как только к панели управления сервером получает доступ второй человек, вся история с безопасностью меняется. Один пароль на всех — это уже не удобство, а дыра: невозможно понять, кто именно снёс конфиг или удалил бэкап, а уход одного модератора из команды означает либо смену пароля для всех, либо тихую надежду, что он не воспользуется старым доступом. Разбираем, как настроить 2FA не для себя одного, а для целой команды администраторов — с отдельными аккаунтами, ролями и внятной процедурой на случай, если кто-то из команды потеряет телефон или просто уйдёт из проекта.

Почему общий пароль на панель — плохая идея с командой

Соблазн понятен: завести один аккаунт панели и раздать пароль всем, кто помогает администрировать сервер — модератору, соучредителю проекта, другу, который следит за сервером по выходным. Это работает, пока не начинает работать против тебя.

Проблема первая — нет атрибуции. Если в логах панели видно, что кто-то изменил server.properties или удалил мир, но вход был под одной общей учёткой, узнать, кто именно это сделал, невозможно без побочных вопросов в духе «кто заходил вчера вечером». Проблема вторая — отзыв доступа. Человек ушёл из команды или разосорился с остальными — пароль нужно менять немедленно, и это ломает доступ сразу всем, включая тех, кто ни при чём. Проблема третья, самая практичная: пароль неизбежно расползается — в переписке Discord, в заметках телефона, иногда в открытом канале команды. Каждая такая копия — потенциальная точка утечки.

Правильная модель — отдельный аккаунт на каждого администратора с собственным паролем и собственным 2FA, плюс права, урезанные под роль конкретного человека. Это не бюрократия ради бюрократии: у современных панелей (Pterodactyl, Pufferpanel, панели крупных хостеров вроде MAATRIX) поддержка нескольких пользователей на один сервер — штатная функция, а не хак. Если у тебя ещё не настроено разделение ролей — начни с прав доступа и ролей администраторов, 2FA на неё естественно ложится сверху.

TOTP как база: коротко о механике для тех, кто настраивает не только себе

Если ты уже знаком с TOTP (Time-based One-Time Password) — можешь пропустить этот раздел и перейти к организации команды. Если нет — вот минимум, который нужен, чтобы объяснить это остальным админам.

Каждый пользователь при включении 2FA получает свой уникальный секретный ключ, привязанный лично к его аккаунту в панели — не к серверу и не к команде в целом. Секрет сканируется QR-кодом в приложение-аутентификатор (Google Authenticator, Authy, Microsoft Authenticator, 1Password), и дальше приложение каждые 30 секунд генерирует новый 6-значный код на основе этого секрета и текущего времени. Панель делает те же вычисления на своей стороне и сверяет.

Ключевое для командной настройки: секреты у разных пользователей независимы. Если у модератора A слетели настройки времени на телефоне и коды перестали совпадать — это не влияет на вход администратора B. И наоборот: компрометация телефона одного члена команды не даёт доступа к аккаунтам остальных, если только они не используют общий пароль (см. предыдущий раздел, почему так делать не стоит).

Единственная общая для всех грабля — рассинхронизация времени. Если у кого-то в команде коды систематически не подходят, первым делом проверяй автоматическую синхронизацию времени на его телефоне, а не секрет заново. На стороне self-hosted панели — синхронизация времени NTP на самой VPS, иначе сервер будет отклонять валидные коды у всех сразу.

Включение 2FA для каждого администратора отдельно

Общий алгоритм на self-hosted панелях типа Pterodactyl такой же, как и для одиночного пользователя, но выполняется каждым членом команды на своём аккаунте:

1. Владелец панели создаёт отдельный аккаунт для каждого администратора с нужной ролью (не даёт всем root/owner — об этом ниже).
2. Каждый заходит под своим логином, идёт в Account Settings → Two-Factor Authentication.
3. Сканирует показанный QR-код своим приложением-аутентификатором, вводит код подтверждения.
4. Сохраняет свои резервные коды восстановления — именно свои, не общие на команду.

Важный нюанс: в Pterodactyl и большинстве похожих self-hosted панелей принудительного включения 2FA на уровне всей инсталляции из коробки нет — каждый пользователь включает его сам себе, добровольно. Это значит, что без контроля со стороны владельца часть команды может месяцами сидеть без второго фактора, просто потому что «руки не дошли». Решается это либо регулярной проверкой (раз в месяц зайти в список пользователей и свериться, у кого 2FA не активна), либо — если панель это поддерживает — политикой, которая блокирует доступ к чувствительным действиям без включённого второго фактора.

У хостинг-провайдеров (не self-hosted) ситуация обычно лучше: в личном кабинете есть отдельный раздел управления саб-пользователями или сотрудниками, где владелец аккаунта может видеть статус 2FA каждого приглашённого и иногда — принудительно требовать его включения перед первым входом. Если твоя панель это умеет — используй, это снимает человеческий фактор.

Роли и права: 2FA — не замена ограничению доступа

2FA защищает вход, но не решает вопрос «а что вообще может делать этот человек после входа». Для команды это разные задачи, и вторая даже важнее первой. Модератору, который следит за игроками и банит гриферов, не нужен доступ к платёжным данным хостинга или к удалению сервера целиком — а если такой доступ есть, то украденный (или просто скомпрометированный слабой защитой) аккаунт модератора становится угрозой для всего проекта, а не только для его небольшого участка.

Практичное разделение ролей для командного сервера:

2FA обязательна для всех строк этой таблицы без исключений — в том числе для модератора с минимальными правами, потому что даже ограниченный аккаунт даёт возможность банить легитимных игроков или сливать вход в чужие руки. Но именно сочетание «своя учётка + своя 2FA + права по роли» и даёт настоящую безопасность, а не одна только галочка «2FA включена».

Онбординг и офбординг: процедура, которую стоит написать один раз

Самая частая причина, по которой команды забрасывают правильную настройку доступа — это лень повторять её при каждом новом человеке. Реши это один раз, зафиксировав короткий чек-лист (можно прямо в закреплённом сообщении Discord-канала команды):

При добавлении нового администратора:

• Создать персональный аккаунт с ролью, соответствующей задаче (не «на всякий случай пошире»).
• Обязать включить 2FA до первого реального действия в панели — не «потом как-нибудь».
• Проверить, что резервные коды 2FA сохранены самим человеком, а не переданы в общий чат.
• Если сервер использует RCON и SSH напрямую — выдать отдельный SSH-ключ, а не общий пароль root (см. SSH-ключи вместо пароля для нескольких администраторов).

При уходе администратора из команды:

• Немедленно отключить или удалить его аккаунт в панели — не «когда будет время».
• Отозвать его SSH-ключ отдельно, если он у него был.
• Если человек знал общий пароль от чего-либо (что уже плохая практика, но реальность многих небольших серверов) — сменить этот пароль сразу же.
• Проверить логи панели за последние дни его доступа на предмет неожиданных изменений.

Разница между «есть процедура» и «нет процедуры» видна ровно в тот момент, когда кто-то уходит на плохих условиях — и тогда время реакции решает всё.

Резервные коды и восстановление доступа в команде

С несколькими людьми история с резервными кодами усложняется: каждый администратор хранит свои коды сам, и владелец панели физически не может «выдать» доступ обратно человеку, который потерял и телефон, и коды одновременно — если только сам не имеет прав администрировать чужие учётки.

Практическая схема для self-hosted панели (Pterodactyl и подобные):

• У владельца или технического админа с правами суперпользователя должна быть возможность сбросить 2FA конкретному пользователю через консоль (php artisan в Pterodactyl) или напрямую в базе данных — это штатный путь восстановления, когда у человека нет резервных кодов.
• Перед сбросом стоит подтвердить личность человека вне панели — голосовым звонком или в личных сообщениях в уже существующем канале, а не по заявке в общем чате, которую теоретически может написать кто угодно, получивший доступ к аккаунту.
• После сброса человек сразу настраивает 2FA заново на новом устройстве.

Для панели хостинг-провайдера восстановление обычно идёт через поддержку хостера с подтверждением личности владельца аккаунта — если это саб-пользователь команды, а не сам владелец, процесс может быть либо ограничен (только владелец основного аккаунта может отзывать и восстанавливать доступ саб-пользователей), либо длиннее по времени. Стоит заранее выяснить это у своего хостера, а не в момент, когда доступ уже нужен срочно.

Отдельно держи в голове альтернативный путь входа в обход веб-панели — прямой SSH-доступ через VPN для администраторов, если что-то с самой панелью пошло не так у всех сразу (например, она недоступна из-за атаки или бага).

Аудит и мониторинг: как убедиться, что 2FA реально работает у всех

Включить 2FA один раз — не значит, что она защищает команду постоянно. Нужна минимальная регулярная проверка, чтобы не обнаружить через полгода, что половина новых людей в команде так и не настроила второй фактор.

Что стоит проверять раз в месяц или после каждого изменения состава команды:

• Список пользователей панели и статус 2FA у каждого (в большинстве панелей это видно администратору без запроса к самому пользователю).
• Список активных SSH-ключей на сервере, если используется прямой доступ — лишние или неизвестные ключи убирать сразу.
• Логи входов в панель на предмет входов из неожиданных географических локаций или в нетипичное время — многие панели и провайдеры пишут IP и время последнего входа в профиле пользователя.
• Актуальность списка ролей — не остался ли у бывшего модератора доступ уровня технического админа просто потому, что роль вовремя не понизили.

Если панель поддерживает уведомления о входе (email или webhook при новом входе с неизвестного устройства) — включи их для всех аккаунтов с широкими правами. Это дешёвый способ узнать о проблеме до того, как она станет катастрофой, а не после.

Частые вопросы