Configurer Built-in passkey pour une intégration
Avec Built-in passkey, un appareil auquel l'utilisateur fait confiance devient son second facteur. Une fois l'appareil de confiance, l'utilisateur se connecte normalement depuis cet appareil sans autre demande, car XFA vérifie l'appareil en arrière-plan. Dans le tableau de bord, vous l'activez avec Built-in Passkey.
Ce guide part du principe que vous êtes administrateur de votre organisation dans XFA. Si vous n'avez pas encore de compte, vous pouvez vous inscrire.
Built-in passkey est l'une des trois méthodes MFA. Pour la comparer à TOTP et aux clés d'accès, consultez Méthodes MFA.
Activer Built-in passkey
- Dans le tableau de bord XFA, allez dans Enforcement.
- Cliquez sur Nouveau pour créer une intégration, ou sur Gérer pour une intégration existante.
- Sous Authentification multi-facteurs, activez Built-in Passkey.
Les utilisateurs qui se connectent via cette intégration confirment désormais leur connexion avec un appareil de confiance.
La MFA n'est pas disponible pour les intégrations OpenID Connect (OAuth 2.0), les applications IdP ou les connexions Discovery. Elle peut être utilisée avec la connexion Agentless.
Options
Ces deux options restent visibles, même lorsque la MFA est désactivée :
| Option | Effet |
|---|---|
| Approuver automatiquement le premier appareil | Approuve sans confirmation par e-mail le premier appareil auquel un utilisateur fait confiance, pour que les nouveaux utilisateurs puissent commencer tout de suite. |
| Double vérification d'identité | Vérifie de nouveau l'identité, y compris sur les appareils de confiance. La méthode de vérification disponible ou l'approbation automatique détermine si l'utilisateur doit agir. Cette option s'applique uniquement à Built-in passkey et nécessite un abonnement incluant les options MFA avancées. Les clés d'accès sont toujours demandées, quel que soit ce paramètre. |
Désactiver la MFA
Lors de la création d'une intégration, la désactivation de la dernière méthode MFA demande une confirmation. Choisissez Désactiver la MFA ou Conserver la MFA. Lors de la modification d'une intégration existante, enregistrez ou annulez le changement dans la barre des modifications non enregistrées ; aucune boîte de dialogue de désactivation ne s'affiche.
Ce que voient les utilisateurs
Premier appareil
La première fois qu'un utilisateur se connecte sur un appareil, XFA lui demande s'il veut lui faire confiance. L'utilisateur choisit Trust this device ou Don't trust, et XFA vérifie l'appareil dans les deux cas. Avec Trust this device, une nouvelle confirmation n'est normalement pas nécessaire aux connexions suivantes. XFA peut ensuite approuver l'appareil automatiquement ou envoyer un e-mail à l'utilisateur. Il clique sur le bouton de cet e-mail, revient sur la page de connexion et se retrouve connecté. Si Approuver automatiquement le premier appareil est activé, l'étape de l'e-mail est ignorée.
Un autre appareil
Lorsqu'un utilisateur se connecte sur un nouvel appareil alors qu'il fait déjà confiance à un appareil, XFA peut lui demander de le confirmer depuis l'appareil de confiance. Il ouvre l'application ou l'extension XFA sur cet appareil et clique sur Allow, et la connexion se poursuit sur le nouvel appareil.
Si Double vérification d'identité est activé, XFA vérifie de nouveau l'identité même sur un appareil de confiance. La méthode disponible, ou une approbation automatique, détermine si l'utilisateur doit intervenir.
Réinitialiser la MFA d'un utilisateur
- Dans Appareils, ouvrez l'onglet Personnes, puis le menu d'actions à côté de l'utilisateur et choisissez Gérer la MFA. Choisissez Réinitialiser toute la MFA pour supprimer toutes ses méthodes MFA, ou Supprimer à côté d'une méthode pour supprimer uniquement cet enregistrement. L'utilisateur configure de nouveau une méthode supprimée lorsque cela devient nécessaire.
- Dans l'onglet Appareils, ouvrez le menu d'actions de l'appareil et choisissez Supprimer le Built-in passkey, sous MFA si ce sous-menu est présent. Cela supprime Built-in passkey uniquement pour cet appareil ; les autres appareils, TOTP et les clés d'accès restent en place.