Configurer Built-in passkey pour une intégration
Avec Built-in passkey, un appareil auquel l'utilisateur fait confiance devient son second facteur. Une fois l'appareil de confiance, l'utilisateur se connecte normalement depuis cet appareil sans autre demande, car XFA vérifie l'appareil en arrière-plan. Dans le tableau de bord, vous l'activez avec Built-in Passkey.
Ce guide part du principe que vous êtes administrateur de votre organisation dans XFA. Si vous n'avez pas encore de compte, vous pouvez vous inscrire.
Built-in passkey est l'une des trois méthodes MFA. Pour la comparer à TOTP et aux clés d'accès, consultez Méthodes MFA.
Activer Built-in passkey
- Dans le tableau de bord XFA, allez dans Enforcement.
- Cliquez sur Nouveau pour créer une intégration, ou sur Gérer pour une intégration existante.
- Sous Authentification multi-facteurs, activez Built-in Passkey.
Les utilisateurs qui se connectent via cette intégration confirment désormais leur connexion avec un appareil de confiance.
La MFA n'est pas disponible pour les intégrations OpenID Connect (OAuth 2.0), les applications IdP ou les connexions Discovery. Elle peut être utilisée avec la connexion Agentless.
Options
Ces deux options restent visibles, même lorsque la MFA est désactivée :
| Option | Effet |
|---|---|
| Approuver automatiquement le premier appareil | Approuve sans confirmation par e-mail le premier appareil auquel un utilisateur fait confiance, pour que les nouveaux utilisateurs puissent commencer tout de suite. |
| Double vérification d'identité | Vérifie de nouveau l'identité, y compris sur les appareils de confiance. La méthode de vérification disponible ou l'approbation automatique détermine si l'utilisateur doit agir. Cette option s'applique uniquement à Built-in passkey et nécessite un abonnement incluant les options MFA avancées. Les clés d'accès sont toujours demandées, quel que soit ce paramètre. |
Désactiver la MFA
Lors de la création d'une intégration, la désactivation de la dernière méthode MFA demande une confirmation. Choisissez Désactiver la MFA ou Conserver la MFA. Lors de la modification d'une intégration existante, enregistrez ou annulez le changement dans la barre des modifications non enregistrées ; aucune boîte de dialogue de désactivation ne s'affiche.
Ce que voient les utilisateurs
Premier appareil
La première fois qu'un utilisateur se connecte sur un appareil, XFA lui demande s'il veut lui faire confiance. L'utilisateur choisit Trust this device ou Don't trust, et XFA vérifie l'appareil dans les deux cas. Avec Trust this device, une nouvelle confirmation n'est normalement pas nécessaire aux connexions suivantes. XFA peut ensuite approuver l'appareil automatiquement ou envoyer un e-mail à l'utilisateur. Il clique sur le bouton de cet e-mail, revient sur la page de connexion et se retrouve connecté. Si Approuver automatiquement le premier appareil est activé, l'étape de l'e-mail est ignorée.
Un autre appareil
Lorsqu'un utilisateur se connecte sur un nouvel appareil alors qu'il fait déjà confiance à un appareil, XFA peut lui demander de le confirmer depuis l'appareil de confiance. Il ouvre l'application ou l'extension XFA sur cet appareil et clique sur Allow, et la connexion se poursuit sur le nouvel appareil.
Si Double vérification d'identité est activé, XFA vérifie de nouveau l'identité même sur un appareil de confiance. La méthode disponible, ou une approbation automatique, détermine si l'utilisateur doit intervenir.
Built-in Passkey sans intervention
Built-in Passkey sans intervention est en bêta et n'est disponible que pour les organisations qui participent à la bêta. Si vous ne le voyez pas sous Built-in Passkey alors que Built-in Passkey est activé, votre organisation n'en dispose pas encore : contactez XFA pour rejoindre la bêta.
Built-in Passkey sans intervention détermine, pour chaque intégration, si les utilisateurs confirment aussi que c'est bien eux sur l'appareil lorsque Built-in passkey les connecte. Le tableau de bord l'affiche sous Built-in Passkey, uniquement lorsque Built-in Passkey est activé sur l'intégration et que votre organisation participe à la bêta.
- Activé : l'application ou l'agent XFA connecte les utilisateurs sur un appareil de confiance sans rien leur demander. C'est ainsi que Built-in passkey a toujours fonctionné.
- Désactivé : à chaque connexion, les utilisateurs confirment que c'est bien eux sur l'appareil avant que XFA les connecte. Cela prouve qui est devant l'appareil, et pas seulement de quel appareil il s'agit.
Valeurs par défaut
- Les intégrations qui existaient avant que votre organisation rejoigne la bêta gardent le mode sans intervention activé. Rien ne change pour leurs utilisateurs tant que vous ne le désactivez pas.
- Les intégrations créées après que votre organisation a rejoint la bêta démarrent avec le mode sans intervention désactivé.
Ce que voient les utilisateurs avec le mode sans intervention désactivé
La page de connexion demande à l'utilisateur de confirmer que c'est bien lui sur l'appareil, et l'appareil le demande une fois par connexion :
| Plateforme | Comment l'utilisateur confirme |
|---|---|
| macOS | Touch ID ou le mot de passe de session du Mac |
| Windows | Windows Hello (visage, empreinte digitale ou code PIN), ou le mot de passe du compte Windows lorsque Windows Hello n'est pas configuré |
| Linux | Empreinte digitale, ou le mot de passe du compte lorsqu'aucune empreinte n'est enregistrée |
| iOS et Android | Face ID, Touch ID ou empreinte digitale, ou le code de l'appareil |
Un utilisateur qui annule n'est pas connecté et peut réessayer. L'empreinte digitale, le visage ou le mot de passe ne quittent jamais l'appareil ; XFA apprend seulement que l'appareil a confirmé l'utilisateur. Si Double vérification d'identité est également activé, les deux étapes ont lieu : l'utilisateur approuve d'abord la connexion sur un autre appareil (une notification push sur son téléphone, ou un e-mail), puis l'appareil sur lequel il se connecte lui demande aussi de confirmer que c'est bien lui avant que Built-in passkey le connecte.
Appareils qui ne peuvent pas confirmer l'utilisateur
Avec le mode sans intervention désactivé, XFA refuse une connexion depuis un appareil qui n'a aucun moyen de confirmer l'utilisateur, et la page de connexion indique à l'utilisateur quoi faire :
- iOS et Android : définir un code ou un verrouillage de l'écran.
- Windows : configurer Windows Hello ou un mot de passe pour le compte, et se connecter sur l'ordinateur lui-même plutôt que via une session à distance.
- Linux : se connecter depuis la session de bureau. Une installation par tarball ou une installation Nix par utilisateur nécessite d'abord une étape de configuration, que la page de connexion affiche : une commande à exécuter en tant que root, ou une modification de la configuration système NixOS. Les paquets deb, rpm et Nix ne nécessitent aucune étape supplémentaire.
- Une ancienne version de XFA : l'utilisateur voit "Mettez XFA à jour sur cet appareil pour vous connecter." et met XFA à jour.
Le guide utilisateur accompagne les utilisateurs dans chaque cas. Si des utilisateurs ne peuvent pas corriger leur appareil, réactivez Built-in Passkey sans intervention pour cette intégration. Ils se connectent alors de nouveau sans la demande.
Réinitialiser la MFA d'un utilisateur
- Dans Appareils, ouvrez l'onglet Personnes, puis le menu d'actions à côté de l'utilisateur et choisissez Gérer la MFA. Choisissez Réinitialiser toute la MFA pour supprimer toutes ses méthodes MFA, ou Supprimer à côté d'une méthode pour supprimer uniquement cet enregistrement. L'utilisateur configure de nouveau une méthode supprimée lorsque cela devient nécessaire.
- Dans l'onglet Appareils, ouvrez le menu d'actions de l'appareil et choisissez Supprimer le Built-in passkey, sous MFA si ce sous-menu est présent. Cela supprime Built-in passkey uniquement pour cet appareil ; les autres appareils, TOTP et les clés d'accès restent en place.