Built-in passkey:n määrittäminen integraatiolle
Built-in passkey tekee laitteesta, johon käyttäjä luottaa, hänen toisen tekijänsä. Kun laite on kerran luotettu, käyttäjä kirjautuu sillä yleensä ilman uutta kehotetta, koska XFA vahvistaa laitteen taustalla. Hallintapaneelissa se otetaan käyttöön valinnalla Built-in Passkey.
Tämä opas olettaa, että olet organisaatiosi järjestelmänvalvoja XFA:ssa. Jos sinulla ei vielä ole tiliä, voit rekisteröityä.
Built-in passkey on yksi kolmesta MFA-menetelmästä. Vertailu TOTP:hen ja pääsyavaimiin on sivulla MFA-menetelmät.
Built-in passkey:n käyttöönotto
- Siirry XFA:n hallintapaneelissa kohtaan Enforcement.
- Napsauta Uusi luodaksesi integraation tai Hallitse olemassa olevan integraation kohdalla.
- Ota kohdassa Monivaiheinen todennus käyttöön Built-in Passkey.
Tämän integraation kautta kirjautuvat käyttäjät vahvistavat nyt kirjautumisensa luotetulla laitteella.
MFA ei ole käytettävissä OpenID Connect (OAuth 2.0) -integraatioissa, IdP-sovelluksissa eikä Discovery-yhteyksissä. MFA:ta voi käyttää Agentless-kirjautumisen kanssa.
Asetukset
Nämä kaksi asetusta näkyvät myös silloin, kun MFA ei ole käytössä:
| Asetus | Mitä se tekee |
|---|---|
| Hyväksy ensimmäinen laite automaattisesti | Hyväksyy ensimmäisen laitteen, johon käyttäjä luottaa, ilman sähköpostivahvistusta, jotta uudet käyttäjät pääsevät heti alkuun. |
| Kaksinkertainen henkilöllisyyden vahvistus | Tarkistaa henkilöllisyyden uudelleen myös luotetuilla laitteilla. Käytettävissä oleva vahvistusmenetelmä tai automaattinen hyväksyntä ratkaisee, tarvitseeko käyttäjän toimia. Asetus koskee vain Built-in passkey:ta ja vaatii tilauksen, johon sisältyvät edistyneet MFA-asetukset. Pääsyavaimia pyydetään aina tästä asetuksesta riippumatta. |
MFA:n poistaminen käytöstä
Integraatiota luotaessa viimeisen käytössä olevan MFA-menetelmän poistaminen käytöstä pyytää vahvistusta. Valitse Poista MFA käytöstä tai Pidä MFA käytössä. Olemassa olevaa integraatiota muokattaessa tallenna tai hylkää muutos tallentamattomien muutosten palkista; poistamisen vahvistusikkunaa ei näytetä.
Mitä käyttäjät näkevät
Ensimmäinen laite
Kun käyttäjä kirjautuu laitteella ensimmäistä kertaa, XFA kysyy, haluaako hän luottaa laitteeseen. Käyttäjä valitsee Trust this device tai Don't trust, ja XFA tarkistaa laitteen kummassakin tapauksessa. Trust this device yleensä poistaa uuden vahvistuksen tarpeen myöhemmillä kirjautumiskerroilla. Sen jälkeen XFA voi hyväksyä laitteen automaattisesti tai lähettää käyttäjälle sähköpostin. Hän napsauttaa sähköpostin painiketta, palaa kirjautumissivulle ja on kirjautunut. Jos Hyväksy ensimmäinen laite automaattisesti on käytössä, sähköpostivaihe jää pois.
Toinen laite
Kun käyttäjä kirjautuu uudella laitteella luotettuaan jo johonkin laitteeseen, XFA voi pyytää häntä vahvistamaan sen laitteelta, johon hän jo luottaa. Hän avaa XFA-sovelluksen tai -laajennuksen kyseisellä laitteella ja napsauttaa Allow, minkä jälkeen kirjautuminen jatkuu uudella laitteella.
Kun Kaksinkertainen henkilöllisyyden vahvistus on käytössä, XFA tarkistaa henkilöllisyyden uudelleen myös luotetulla laitteella. Käytettävissä oleva menetelmä tai automaattinen hyväksyntä määrää, tarvitaanko käyttäjän toimia.
Kosketukseton Built-in Passkey
Kosketukseton Built-in Passkey on betavaiheessa, ja se on käytettävissä vain betaan osallistuville organisaatioille. Jos et näe sitä kohdassa Built-in Passkey, kun Built-in Passkey on käytössä, organisaatiollasi ei vielä ole sitä: ota yhteyttä XFA:han liittyäksesi betaan.
Kosketukseton Built-in Passkey määrää integraatiokohtaisesti, vahvistavatko käyttäjät laitteella myös, että kyse on heistä, kun Built-in passkey kirjaa heidät sisään. Hallintapaneeli näyttää sen kohdassa Built-in Passkey vain silloin, kun Built-in Passkey on käytössä integraatiossa ja organisaatiosi on mukana betassa.
- Käytössä: XFA-sovellus tai -agentti kirjaa käyttäjät sisään luotetulla laitteella kysymättä mitään. Näin Built-in passkey on aina toiminut.
- Ei käytössä: jokaisella kirjautumiskerralla käyttäjät vahvistavat laitteella, että kyse on heistä, ennen kuin XFA kirjaa heidät sisään. Tämä osoittaa, kuka laitteella on, eikä vain sitä, mikä laite on kyseessä.
Oletusarvot
- Integraatioissa, jotka olivat olemassa ennen kuin organisaatiosi liittyi betaan, kosketukseton tila pysyy käytössä. Niiden käyttäjille mikään ei muutu, ennen kuin poistat sen käytöstä.
- Integraatiot, jotka luodaan sen jälkeen, kun organisaatiosi liittyi betaan, alkavat niin, että kosketukseton tila on pois käytöstä.
Mitä käyttäjät näkevät, kun kosketukseton tila ei ole käytössä
Kirjautumissivu pyytää käyttäjää vahvistamaan laitteella, että kyse on hänestä, ja laite kysyy kerran kirjautumista kohden:
| Alusta | Miten käyttäjä vahvistaa |
|---|---|
| macOS | Touch ID tai Macin kirjautumissalasana |
| Windows | Windows Hello (kasvot, sormenjälki tai PIN-koodi) tai Windows-tilin salasana, kun Windows Hello ei ole käytössä |
| Linux | Sormenjälki tai tilin salasana, kun sormenjälkeä ei ole rekisteröity |
| iOS ja Android | Face ID, Touch ID tai sormenjälki tai laitteen pääsykoodi |
Käyttäjää, joka peruuttaa, ei kirjata sisään, ja hän voi yrittää uudelleen. Sormenjälki, kasvot tai salasana eivät koskaan poistu laitteelta; XFA saa tietää vain, että laite vahvisti käyttäjän. Kun myös Kaksinkertainen henkilöllisyyden vahvistus on käytössä, molemmat vaiheet tapahtuvat: käyttäjä hyväksyy ensin kirjautumisen toisella laitteella (push-ilmoituksella puhelimeen tai sähköpostilla), ja kirjautuva laite pyytää sen jälkeen häntä myös vahvistamaan, että kyse on hänestä, ennen kuin Built-in passkey kirjaa hänet sisään.
Laitteet, jotka eivät pysty vahvistamaan käyttäjää
Kun kosketukseton tila ei ole käytössä, XFA hylkää kirjautumisen laitteelta, jolla käyttäjää ei voi vahvistaa, ja kirjautumissivu kertoo käyttäjälle, mitä tehdä:
- iOS ja Android: aseta pääsykoodi tai näytön lukitus.
- Windows: ota tilille käyttöön Windows Hello tai salasana ja kirjaudu suoraan tietokoneella etäistunnon sijaan.
- Linux: kirjaudu työpöytäistunnosta. Tarball-asennus tai käyttäjäkohtainen Nix-asennus tarvitsee ensin yhden asetusvaiheen, jonka kirjautumissivu näyttää: root-käyttäjänä suoritettavan komennon tai muutoksen NixOS-järjestelmän määritykseen. Deb-, rpm- ja Nix-paketit eivät tarvitse lisävaihetta.
- XFA:n vanhempi versio: käyttäjä näkee ilmoituksen "Update XFA on this device to sign in." ja päivittää XFA:n.
Käyttäjän opas neuvoo käyttäjiä jokaisessa tapauksessa. Jos käyttäjät eivät pysty korjaamaan laitettaan, ota Kosketukseton Built-in Passkey uudelleen käyttöön kyseisessä integraatiossa. He kirjautuvat sitten taas ilman kehotetta.
Käyttäjän MFA:n nollaaminen
- Avaa kohdassa Laitteet välilehti Henkilöt, sitten käyttäjän vieressä oleva toimintovalikko ja valitse Hallitse MFA:ta. Valitse Nollaa kaikki MFA poistaaksesi kaikki MFA-menetelmät tai Poista menetelmän vierestä poistaaksesi vain kyseisen rekisteröinnin. Käyttäjä määrittää poistetun menetelmän uudelleen tarvittaessa.
- Avaa Laitteet-välilehdellä laitteen toimintovalikko ja valitse Poista Built-in passkey, MFA-alivalikosta, jos se on näkyvissä. Tämä poistaa Built-in passkey:n vain kyseiseltä laitteelta; muut laitteet, TOTP ja pääsyavaimet säilyvät.