Hướng dẫn áp dụng các chính sách đăng nhập của EzyLogin
Back to ezylogin
Updated at
1793374595000
EzyLogin cho phép quản trị viên quyết định một tài khoản người dùng được đăng nhập đồng thời trên bao nhiêu thiết bị, và điều gì xảy ra khi người dùng đăng nhập trên thiết bị mới trong khi đã đạt số thiết bị tối đa. Tài liệu này giải thích từng chính sách, trải nghiệm mà người dùng sẽ thấy trên trang web, cách cấu hình trong trang quản trị và cách theo dõi, đăng xuất các phiên đăng nhập.
Tổng quan về các chính sách đăng nhập
Mỗi lần người dùng đăng nhập thành công trên một thiết bị (trình duyệt), EzyLogin tạo ra một phiên đăng nhập gắn với access token của lần đăng nhập đó, kèm địa chỉ IP và thông tin trình duyệt (User-Agent). Chính sách đăng nhập quyết định cách EzyLogin xử lý các phiên này khi số thiết bị vượt quá giới hạn.
Thiết lập nằm ở mục Đăng nhập đồng thời trên nhiều thiết bị trong EzyLogin > Cài đặt thường, với 3 lựa chọn:
| Chính sách | Khi đạt số thiết bị tối đa | Phù hợp với |
|---|---|---|
| Tắt | Không giới hạn, người dùng đăng nhập trên bao nhiêu thiết bị cũng được | Website nội dung, cộng đồng, nơi không cần kiểm soát chia sẻ tài khoản |
| Đăng xuất thiết bị đăng nhập sớm nhất | Thiết bị mới được đăng nhập, thiết bị đăng nhập sớm nhất bị đăng xuất | Website muốn hạn chế chia sẻ tài khoản nhưng vẫn giữ trải nghiệm liền mạch |
| Chặn đăng nhập trên thiết bị mới | Thiết bị mới bị chặn cho đến khi người dùng đăng xuất khỏi một thiết bị khác | Khóa học trả phí, nội dung bản quyền, hệ thống cần kiểm soát chặt số thiết bị |
Chính sách được áp dụng cho tài khoản người dùng ở mọi cách đăng nhập trên web: đăng nhập bằng tên đăng nhập/email/số điện thoại và mật khẩu, đăng nhập bằng Google, Facebook, OAuth 2.0 khác và SSO.
Cách EzyLogin đếm số thiết bị
Trước khi áp dụng chính sách, EzyLogin xác định số thiết bị mà tài khoản đang đăng nhập theo các nguyên tắc sau:
- Chỉ tính các phiên đang hoạt động. Phiên có access token đã hết hạn được tự động thu hồi với lý do Đã hết hạn và không còn bị tính.
- Nếu người dùng đăng nhập lại trên chính trình duyệt đang có phiên hoạt động, phiên cũ của trình duyệt đó được thay bằng phiên mới, nên không bị tính thành một thiết bị mới.
- Khi người dùng đăng xuất trên một thiết bị, phiên của thiết bị đó bị thu hồi với lý do Đã đăng xuất và chỗ trống được giải phóng ngay.
Ví dụ với Số thiết bị đăng nhập đồng thời tối đa là 2: người dùng đăng nhập trên laptop và điện thoại thì vẫn bình thường, đến lần đăng nhập trên máy tính bảng (thiết bị thứ 3) thì chính sách mới được áp dụng.
Chi tiết từng chính sách
Phần này mô tả hành vi của từng chính sách, cả ở phía hệ thống lẫn những gì người dùng nhìn thấy trên trang đăng nhập.
Tắt
Người dùng có thể đăng nhập trên không giới hạn số thiết bị, EzyLogin không chặn và không đăng xuất thiết bị nào.
Khi chọn chính sách này, trang quản trị hiện thêm tùy chọn Luôn lưu phiên người dùng (kể cả khi tắt giới hạn đăng nhập đồng thời). Nếu bật, EzyLogin vẫn ghi lại phiên đăng nhập của người dùng (IP, trình duyệt, thời gian) để quản trị viên theo dõi trong trang Các phiên người dùng. Nếu không bật, phiên đăng nhập không được ghi lại.
Đăng xuất thiết bị đăng nhập sớm nhất
Khi người dùng đăng nhập trên thiết bị mới mà tài khoản đã đạt số thiết bị tối đa, EzyLogin cho phép đăng nhập ngay và tự động đăng xuất (các) thiết bị đã đăng nhập sớm nhất để số thiết bị không vượt quá giới hạn. Các phiên bị đăng xuất được thu hồi với lý do Đã đăng nhập trên thiết bị khác, đồng thời các socket access token của người dùng cũng bị xóa.
Ở thiết bị bị đăng xuất, khi người dùng mở lại trang đăng nhập sẽ thấy thông báo dưới đây. Nhờ vậy người dùng hiểu lý do mình bị đăng xuất và có thể đổi mật khẩu nếu nghi ngờ tài khoản bị người khác sử dụng.
- Thông báo "Tài khoản của bạn đã được đăng nhập trên thiết bị khác nên bạn đã bị đăng xuất".
Chặn đăng nhập trên thiết bị mới
Khi người dùng đăng nhập trên thiết bị mới mà tài khoản đã đạt số thiết bị tối đa, EzyLogin không tạo phiên mới mà mở ngay hộp thoại Các thiết bị đã đăng nhập. Hộp thoại liệt kê các thiết bị đang đăng nhập, thiết bị đăng nhập gần nhất ở trên cùng, mỗi lần 5 thiết bị (có nút Tải thêm khi nhiều hơn).
- Hướng dẫn cho người dùng: cần đăng xuất khỏi ít nhất một thiết bị để tiếp tục đăng nhập trên thiết bị này.
- Thông tin một thiết bị: tên thiết bị hoặc trình duyệt, địa chỉ IP và thời điểm đăng nhập.
- Nút Đăng xuất thiết bị đó ngay từ thiết bị mới (chỉ có khi quản trị viên chọn Cho phép ở thiết lập bên dưới).
- Ghi chú: nếu người dùng không thể truy cập các thiết bị đó thì liên hệ quản trị viên để được đăng xuất giúp.
Nếu người dùng đóng hộp thoại, form đăng nhập vẫn giữ thông báo để người dùng mở lại danh sách thiết bị bất cứ lúc nào. Với đăng nhập bằng Google, Facebook, OAuth 2.0 khác hoặc SSO, sau khi xác thực ở nhà cung cấp, người dùng được chuyển về trang đăng nhập với cùng thông báo và hộp thoại này.
- Thông báo "Tài khoản của bạn đã đăng nhập trên số thiết bị tối đa. Vui lòng đăng xuất khỏi một thiết bị khác để tiếp tục." kèm liên kết Xem các thiết bị đã đăng nhập để mở lại hộp thoại.
Việc người dùng có được tự đăng xuất thiết bị khác ngay từ thiết bị mới hay không được điều khiển bởi thiết lập Đăng xuất thiết bị khác khi đăng nhập trên thiết bị mới (chỉ hiện khi chọn chính sách này).
Khi chọn Cho phép, mỗi thiết bị trong hộp thoại có nút Đăng xuất như ảnh ở trên:
- Nếu sau khi đăng xuất không còn thiết bị nào khác trong danh sách (ví dụ giới hạn là 1 thiết bị), EzyLogin tự động hoàn tất đăng nhập trên thiết bị mới mà không cần nhập lại mật khẩu.
- Nếu danh sách vẫn còn thiết bị khác (giới hạn từ 2 thiết bị trở lên), người dùng đóng hộp thoại và nhấn Đăng nhập lại để vào bằng chỗ trống vừa được giải phóng.
Thiết bị bị đăng xuất theo cách này sẽ thấy thông báo sau khi mở lại trang đăng nhập:
- Thông báo "Tài khoản của bạn đã bị đăng xuất từ một thiết bị khác".
Khi chọn Không cho phép, hộp thoại không có nút đăng xuất. Người dùng phải đăng xuất trực tiếp trên thiết bị đang đăng nhập, chờ đến thời điểm phiên trên thiết bị đó hết hạn, hoặc nhờ quản trị viên đăng xuất giúp.
- Hướng dẫn cho người dùng: đăng xuất trực tiếp trên một trong các thiết bị, hoặc chờ đến thời điểm có thể đăng nhập lại.
- Bạn có thể đăng nhập lại lúc: thời điểm phiên trên thiết bị đó hết hạn, sau thời điểm này chỗ của thiết bị được giải phóng.
Phiên xác nhận đăng nhập trên thiết bị mới có hiệu lực trong 10 phút. Nếu quá thời gian này, người dùng sẽ thấy thông báo "Phiên xác nhận đã hết hạn, vui lòng đăng nhập lại." và cần đăng nhập lại từ đầu.
Cấu hình chính sách trong trang quản trị
Sau khi đã chọn được chính sách phù hợp, quản trị viên cấu hình trong EzyLogin > Cài đặt thường. Các trường hiện ra tùy theo chính sách được chọn.
- Đăng nhập đồng thời trên nhiều thiết bị: chọn một trong ba chính sách.
- Số thiết bị đăng nhập đồng thời tối đa: chỉ hiện với hai chính sách giới hạn. Trường này bắt buộc và phải là số nguyên lớn hơn 0; giá trị mặc định là 1, tức mỗi tài khoản chỉ đăng nhập trên một thiết bị tại một thời điểm.
- Đăng xuất thiết bị khác khi đăng nhập trên thiết bị mới: chỉ hiện với chính sách Chặn đăng nhập trên thiết bị mới, chọn Cho phép (mặc định) hoặc Không cho phép.
- Chính sách Tắt.
- Luôn lưu phiên người dùng (kể cả khi tắt giới hạn đăng nhập đồng thời): bật để vẫn theo dõi được các phiên đăng nhập trong trang Các phiên người dùng.
Nhấn Lưu để áp dụng. Chính sách mới có hiệu lực từ lần đăng nhập tiếp theo của người dùng; các phiên đang hoạt động không bị đăng xuất ngay khi lưu.
Một số cấu hình gợi ý:
- Website học trực tuyến bán khóa học theo tài khoản: Chặn đăng nhập trên thiết bị mới, tối đa 1 hoặc 2 thiết bị, Không cho phép đăng xuất thiết bị khác để hạn chế việc nhiều người dùng chung một tài khoản và luân phiên đá nhau ra.
- Ứng dụng nội bộ, ứng dụng ngân hàng hoặc ví: Đăng xuất thiết bị đăng nhập sớm nhất, tối đa 1 thiết bị, để phiên mới nhất luôn là phiên duy nhất.
- Website nội dung, cộng đồng: Tắt và bật Luôn lưu phiên người dùng để vẫn có dữ liệu khi cần kiểm tra tài khoản bị lạm dụng.
Theo dõi và đăng xuất phiên đăng nhập của người dùng
Khi người dùng không thể tự đăng xuất thiết bị (mất máy, quản trị viên chọn Không cho phép, hoặc nghi ngờ tài khoản bị chiếm), quản trị viên xử lý trong trang EzyLogin > Các phiên người dùng.
- Hành động hàng loạt: chọn nhiều phiên bằng ô đánh dấu, chọn Đăng xuất các phiên đăng nhập rồi nhấn Thực thi.
- Bộ lọc theo người dùng (từ khóa), trạng thái và lý do thu hồi.
- Lý do thu hồi của các phiên đã bị thu hồi, xem bảng bên dưới.
- Nút đăng xuất một phiên đang hoạt động.
Phiên bị quản trị viên đăng xuất được thu hồi với lý do Bị quản trị viên đăng xuất, giải phóng chỗ để người dùng đăng nhập trên thiết bị mới. Các lý do thu hồi có thể gặp trong trang này:
| Lý do thu hồi | Ý nghĩa |
|---|---|
| Đã hết hạn | Access token của phiên đã hết hạn |
| Đã đăng xuất | Người dùng tự đăng xuất trên thiết bị đó, hoặc đăng nhập lại trên cùng trình duyệt |
| Đã đăng nhập trên thiết bị khác | Bị đăng xuất tự động theo chính sách Đăng xuất thiết bị đăng nhập sớm nhất |
| Đăng xuất từ thiết bị khác | Người dùng đăng xuất thiết bị này từ hộp thoại Các thiết bị đã đăng nhập trên thiết bị mới |
| Bị quản trị viên đăng xuất | Quản trị viên đăng xuất phiên trong trang Các phiên người dùng |
Kết hợp với các thiết lập bảo vệ đăng nhập khác
Chính sách thiết bị kiểm soát bao nhiêu nơi được đăng nhập, còn các thiết lập khác trong Cài đặt thường kiểm soát ai và bằng cách nào được đăng nhập. Nên dùng kết hợp:
- Số lần đăng nhập sai tối đa và Thời gian chặn đăng nhập: tạm khóa đăng nhập sau nhiều lần nhập sai mật khẩu, chống dò mật khẩu.
- Cho phép người dùng bật xác thực hai lớp (2FA): người dùng bật 2FA phải nhập thêm mã xác thực khi đăng nhập.
- Bắt buộc người dùng đăng nhập bằng số điện thoại: người dùng phải nhập đúng số điện thoại, hoặc đúng thông tin đăng nhập và số điện thoại phụ.
- Cho phép người dùng đăng nhập: tắt khi cần tạm dừng toàn bộ việc đăng nhập của người dùng, ví dụ khi bảo trì.