保护网站管理面板访问权限的选项-只有受信任的用户可以访问它

Question

我想保护电子商务网站的管理面板，以便只有受信任的用户才能访问登录页面。为了避免任何恶意尝试，例如bruteforce等。

店面和管理面板位于不同的域。完整的堆栈托管在AWS上。我能想到的可能的解决方案是：

• 使用固定的静态IP地址是一种可能的解决方案，但是我们许多员工都可以通过办公室外的移动设备访问面板，并且很多人在旅途中都来自不同城市。
• 可以使用WAF来限制登录尝试等。但是同样，不信任的用户也有可能通过专门的努力进行入侵。

我正在寻找某种方式，使不信任用户不使用IP阻止策略就无法访问包括登录页面在内的任何URL。

我想保护电子商务网站的管理面板，以便只有受信任的用户才能访问登录页面。为了避免任何恶意尝试，例如bruteforce等。托管了Storefront和管理面板...

Answer 1

如果您需要严格的安全保护，这些就是我的主要目的。

• 将管理网站设为私有网站，并仅通过VPN

Answer 2

虽然VPN解决方案很好，但是您所描述的通用方法是客户端证书。每个用户都会获得一份客户证书，并将其存储在自己的计算机上。访问该页面需要获得批准的证书。这通常也称为“相互认证”。

Answer 3

使用TOTP进行两因素身份验证（请注意，NIST强烈建议不要使用SMS，而业内其他人也应该这样做）可能是在不给用户造成不必要负担的情况下进行此操作的最佳方法。如今，AWS ALB可以通过身份验证做一些很酷的事情（从Cognito OIDC到具有签名的AWS样式请求授权的完整操作），但是这些事情都不能超过密码登录。