Zum Hauptinhalt springen

Built-in passkey für eine Integration einrichten

Mit Built-in passkey wird ein Gerät, dem der Benutzer vertraut, zu seinem zweiten Faktor. Ist ein Gerät einmal vertrauenswürdig, meldet sich der Benutzer damit normalerweise ohne weitere Abfrage an, denn XFA verifiziert das Gerät im Hintergrund. Im Dashboard schalten Sie es mit Built-in Passkey ein.

Diese Anleitung setzt voraus, dass Sie Administrator Ihrer Organisation in XFA sind. Wenn Sie noch kein Konto haben, können Sie sich registrieren.

Built-in passkey ist eine von drei MFA-Methoden. Einen Vergleich mit TOTP und Passkeys finden Sie unter MFA-Methoden.

Built-in passkey einschalten

  1. Öffnen Sie im XFA-Dashboard Enforcement.
  2. Klicken Sie auf Neu, um eine Integration anzulegen, oder bei einer bestehenden Integration auf Verwalten.
  3. Schalten Sie unter Multi-Faktor-Authentifizierung die Option Built-in Passkey ein.

Benutzer, die sich über diese Integration anmelden, bestätigen ihre Anmeldung jetzt mit einem vertrauenswürdigen Gerät.

MFA ist für OpenID Connect (OAuth 2.0)-Integrationen, IdP-Anwendungen und Discovery-Verbindungen nicht verfügbar. MFA kann zusammen mit der Agentless-Anmeldung verwendet werden.

Optionen

Diese beiden Optionen bleiben sichtbar, auch wenn MFA ausgeschaltet ist:

OptionWas sie bewirkt
Erstes Gerät automatisch genehmigenGenehmigt das erste Gerät, dem ein Benutzer vertraut, ohne Bestätigung per E-Mail, sodass neue Benutzer sofort loslegen können.
Doppelte IdentitätsprüfungPrüft die Identität erneut, auch auf vertrauenswürdigen Geräten. Die verfügbare Verifizierungsmethode oder automatische Genehmigung bestimmt, ob der Benutzer handeln muss. Die Option gilt nur für Built-in passkey und erfordert einen Plan mit erweiterten MFA-Optionen. Passkeys werden unabhängig von dieser Einstellung immer abgefragt.

MFA deaktivieren

Beim Erstellen einer Integration verlangt das Ausschalten der letzten aktiven MFA-Methode eine Bestätigung. Wählen Sie MFA deaktivieren oder MFA aktiviert lassen. Beim Bearbeiten einer bestehenden Integration speichern oder verwerfen Sie die Änderung über die Leiste für ungespeicherte Änderungen; es erscheint kein Deaktivierungsdialog.

Was Benutzer sehen

Erstes Gerät

Wenn sich ein Benutzer zum ersten Mal auf einem Gerät anmeldet, fragt XFA, ob er dem Gerät vertrauen möchte. Der Benutzer wählt Trust this device oder Don't trust, und XFA verifiziert das Gerät in beiden Fällen. Mit Trust this device ist bei späteren Anmeldungen normalerweise keine erneute Bestätigung nötig. XFA kann das Gerät dann automatisch genehmigen oder dem Benutzer eine E-Mail senden. Er klickt auf die Schaltfläche in dieser E-Mail, kehrt zur Anmeldeseite zurück und ist angemeldet. Ist Erstes Gerät automatisch genehmigen aktiviert, entfällt der Schritt mit der E-Mail.

Ein weiteres Gerät

Wenn sich ein Benutzer auf einem neuen Gerät anmeldet, nachdem er bereits einem Gerät vertraut, kann XFA ihn bitten, es von dem Gerät aus zu bestätigen, dem er bereits vertraut. Er öffnet die XFA-App oder -Erweiterung auf diesem Gerät und klickt auf Allow, und die Anmeldung wird auf dem neuen Gerät fortgesetzt.

Ist Doppelte Identitätsprüfung aktiviert, prüft XFA die Identität auch auf einem vertrauenswürdigen Gerät erneut. Die verfügbare Methode oder eine automatische Genehmigung bestimmt, ob der Benutzer etwas tun muss.

Zero-Touch für Built-in Passkey

Beta

Zero-Touch für Built-in Passkey ist in der Beta und nur für Organisationen in der Beta verfügbar. Wenn Sie die Option unter Built-in Passkey nicht sehen, obwohl Built-in Passkey aktiviert ist, hat Ihre Organisation sie noch nicht: Wenden Sie sich an XFA, um an der Beta teilzunehmen.

Zero-Touch für Built-in Passkey legt pro Integration fest, ob Benutzer zusätzlich auf dem Gerät bestätigen, dass sie es sind, wenn Built-in passkey sie anmeldet. Das Dashboard zeigt die Option unter Built-in Passkey, nur solange Built-in Passkey für die Integration aktiviert ist und Ihre Organisation an der Beta teilnimmt.

  • Ein: Die XFA-App oder der XFA-Agent meldet Benutzer auf einem vertrauenswürdigen Gerät an, ohne etwas zu fragen. So hat Built-in passkey schon immer funktioniert.
  • Aus: Bei jeder Anmeldung bestätigen Benutzer auf dem Gerät, dass sie es sind, bevor XFA sie anmeldet. Das beweist, wer am Gerät ist, nicht nur, um welches Gerät es sich handelt.

Standardwerte

  • Integrationen, die bereits existierten, bevor Ihre Organisation der Beta beigetreten ist, behalten Zero-Touch eingeschaltet. Für ihre Benutzer ändert sich nichts, bis Sie es ausschalten.
  • Integrationen, die nach dem Beitritt Ihrer Organisation zur Beta erstellt wurden, starten mit ausgeschaltetem Zero-Touch.

Was Benutzer bei ausgeschaltetem Zero-Touch sehen

Die Anmeldeseite bittet den Benutzer, auf dem Gerät zu bestätigen, dass er es ist, und das Gerät fragt einmal pro Anmeldung:

PlattformWie der Benutzer bestätigt
macOSTouch ID oder das Mac-Anmeldekennwort
WindowsWindows Hello (Gesicht, Fingerabdruck oder PIN) oder das Kennwort des Windows-Kontos, wenn Windows Hello nicht eingerichtet ist
LinuxFingerabdruck oder das Kontokennwort, wenn kein Fingerabdruck registriert ist
iOS und AndroidFace ID, Touch ID oder Fingerabdruck oder der Gerätecode

Ein Benutzer, der abbricht, ist nicht angemeldet und kann es erneut versuchen. Fingerabdruck, Gesicht oder Kennwort verlassen das Gerät nie; XFA erfährt nur, dass das Gerät den Benutzer bestätigt hat. Ist zusätzlich Doppelte Identitätsprüfung aktiviert, finden beide Schritte statt: Der Benutzer genehmigt die Anmeldung zuerst auf einem anderen Gerät (per Push-Benachrichtigung auf sein Telefon oder per E-Mail), und das Gerät, auf dem er sich anmeldet, bittet ihn dann zusätzlich zu bestätigen, dass er es ist, bevor Built-in passkey ihn anmeldet.

Geräte, die den Benutzer nicht bestätigen können

Bei ausgeschaltetem Zero-Touch lehnt XFA eine Anmeldung von einem Gerät ab, das keine Möglichkeit hat, den Benutzer zu bestätigen, und die Anmeldeseite sagt dem Benutzer, was zu tun ist:

  • iOS und Android: einen Code oder eine Displaysperre festlegen.
  • Windows: Windows Hello oder ein Kennwort für das Konto einrichten und sich am Computer selbst anmelden statt über eine Remotesitzung.
  • Linux: sich aus der Desktopsitzung anmelden. Eine Tarball-Installation oder eine Nix-Installation pro Benutzer braucht zuerst einen Einrichtungsschritt, den die Anmeldeseite anzeigt: einen Befehl, der als root ausgeführt wird, oder eine Änderung an der NixOS-Systemkonfiguration. Die deb-, rpm- und Nix-Pakete brauchen keinen zusätzlichen Schritt.
  • Eine ältere XFA-Version: Der Benutzer sieht "Aktualisieren Sie XFA auf diesem Gerät, um sich anzumelden." und aktualisiert XFA.

Die Benutzeranleitung führt Benutzer durch jeden Fall. Wenn Benutzer ihr Gerät nicht in Ordnung bringen können, schalten Sie Zero-Touch für Built-in Passkey für diese Integration wieder ein. Sie melden sich dann wieder ohne die Abfrage an.

MFA eines Benutzers zurücksetzen

  • Öffnen Sie unter Geräte den Tab Personen, dann das Aktionsmenü neben dem Benutzer und wählen Sie MFA verwalten. Mit Alle MFA zurücksetzen entfernen Sie alle MFA-Methoden, mit Entfernen neben einer Methode nur diese Registrierung. Der Benutzer richtet eine entfernte Methode bei Bedarf erneut ein.
  • Öffnen Sie im Tab Geräte das Aktionsmenü des Geräts und wählen Sie Built-in passkey entfernen, unter MFA, falls dieses Untermenü vorhanden ist. Dies entfernt Built-in passkey nur für dieses Gerät; andere Geräte, TOTP und Passkeys bleiben erhalten.