Built-in passkey instellen voor een integratie
Met Built-in passkey wordt een toestel dat de gebruiker vertrouwt zijn tweede factor. Is een toestel eenmaal vertrouwd, dan meldt de gebruiker zich er meestal mee aan zonder extra vraag, omdat XFA het toestel op de achtergrond verifieert. Je zet het in het dashboard aan met Built-in Passkey.
Deze gids gaat ervan uit dat je beheerder bent van je organisatie in XFA. Heb je nog geen account, dan kun je je aanmelden.
Built-in passkey is een van de drie MFA-methodes. Hoe het zich verhoudt tot TOTP en passkeys, lees je bij MFA-methodes.
Built-in passkey aanzetten
- Ga in het XFA-dashboard naar Enforcement.
- Klik op Nieuw om een integratie aan te maken, of op Beheren bij een bestaande integratie.
- Zet onder Multi-Factor Authenticatie de optie Built-in Passkey aan.
Gebruikers die zich via deze integratie aanmelden, bevestigen hun aanmelding nu met een vertrouwd toestel.
MFA is niet beschikbaar voor OpenID Connect (OAuth 2.0)-integraties, IdP-applicaties of Discovery-koppelingen. MFA kan samen met Agentless aanmelden worden gebruikt.
Opties
Deze twee opties blijven zichtbaar, ook als MFA uitstaat:
| Optie | Wat het doet |
|---|---|
| Eerste toestel automatisch goedkeuren | Keurt het eerste toestel dat een gebruiker vertrouwt goed zonder bevestiging per e-mail, zodat nieuwe gebruikers meteen aan de slag kunnen. |
| Dubbele identiteitsverificatie | Controleert de identiteit opnieuw, ook op vertrouwde toestellen. De beschikbare verificatiemethode of automatische goedkeuring bepaalt of de gebruiker iets moet doen. Dit geldt alleen voor Built-in passkey en vereist een plan met geavanceerde MFA-opties. Passkeys worden altijd gevraagd, ongeacht deze instelling. |
MFA uitzetten
Bij het aanmaken van een integratie vraagt het dashboard om bevestiging als je de laatste actieve MFA-methode uitzet. Kies MFA uitschakelen of MFA ingeschakeld houden. Bij het bewerken van een bestaande integratie sla je de wijziging op of maak je ze ongedaan via de balk met niet-opgeslagen wijzigingen; er verschijnt geen uitschakeldialoog.
Wat gebruikers zien
Eerste toestel
De eerste keer dat een gebruiker zich op een toestel aanmeldt, vraagt XFA of hij het toestel wil vertrouwen. De gebruiker kiest Trust this device of Don't trust, en XFA verifieert het toestel in beide gevallen. Met Trust this device is bij latere aanmeldingen meestal geen nieuwe bevestiging nodig. XFA kan het toestel daarna automatisch goedkeuren of de gebruiker een e-mail sturen. Hij klikt op de knop in die e-mail, gaat terug naar de aanmeldpagina en is aangemeld. Staat Eerste toestel automatisch goedkeuren aan, dan valt de stap met de e-mail weg.
Een ander toestel
Meldt een gebruiker zich aan op een nieuw toestel nadat hij er al een vertrouwt, dan kan XFA hem vragen het te bevestigen vanaf het toestel dat hij al vertrouwt. Hij opent de XFA-app of -extensie op dat toestel en klikt op Allow, waarna de aanmelding verdergaat op het nieuwe toestel.
Staat Dubbele identiteitsverificatie aan, dan controleert XFA de identiteit ook op een vertrouwd toestel opnieuw. De beschikbare methode, of automatische goedkeuring, bepaalt of de gebruiker iets moet doen.
Zero-touch Built-in Passkey
Zero-touch Built-in Passkey is in bèta en alleen beschikbaar voor organisaties in de bèta. Zie je het niet onder Built-in Passkey terwijl Built-in Passkey aanstaat, dan heeft je organisatie het nog niet: neem contact op met XFA om deel te nemen aan de bèta.
Zero-touch Built-in Passkey bepaalt per integratie of gebruikers ook op het toestel bevestigen dat zij het zijn wanneer Built-in passkey hen aanmeldt. Het dashboard toont het onder Built-in Passkey, alleen zolang Built-in Passkey op de integratie aanstaat en je organisatie in de bèta zit.
- Aan: de XFA-app of -agent meldt gebruikers op een vertrouwd toestel aan zonder iets te vragen. Zo heeft Built-in passkey altijd gewerkt.
- Uit: bij elke aanmelding bevestigen gebruikers op het toestel dat zij het zijn voordat XFA hen aanmeldt. Dit bewijst wie er aan het toestel zit, niet alleen welk toestel het is.
Standaardinstellingen
- Integraties die al bestonden voordat je organisatie aan de bèta deelnam, houden zero-touch aan. Voor hun gebruikers verandert er niets tot je het uitzet.
- Integraties die zijn aangemaakt nadat je organisatie aan de bèta deelnam, starten met zero-touch uit.
Wat gebruikers zien met zero-touch uit
De aanmeldpagina vraagt de gebruiker op het toestel te bevestigen dat hij het is, en het toestel vraagt het één keer per aanmelding:
| Platform | Hoe de gebruiker bevestigt |
|---|---|
| macOS | Touch ID of het wachtwoord waarmee hij zich op de Mac aanmeldt |
| Windows | Windows Hello (gezicht, vingerafdruk of pincode), of het wachtwoord van het Windows-account als Windows Hello niet is ingesteld |
| Linux | Vingerafdruk, of het wachtwoord van het account als er geen vingerafdruk is geregistreerd |
| iOS en Android | Face ID, Touch ID of vingerafdruk, of de toegangscode van het toestel |
Een gebruiker die annuleert, is niet aangemeld en kan het opnieuw proberen. De vingerafdruk, het gezicht of het wachtwoord verlaat het toestel nooit; XFA hoort alleen dat het toestel de gebruiker heeft bevestigd. Staat ook Dubbele identiteitsverificatie aan, dan gebeuren beide stappen: de gebruiker keurt de aanmelding eerst goed op een ander toestel (een pushmelding op zijn telefoon, of een e-mail), en daarna vraagt het toestel waarop hij zich aanmeldt hem ook te bevestigen dat hij het is voordat Built-in passkey hem aanmeldt.
Toestellen die de gebruiker niet kunnen bevestigen
Met zero-touch uit weigert XFA een aanmelding vanaf een toestel dat op geen enkele manier de gebruiker kan bevestigen, en de aanmeldpagina vertelt de gebruiker wat hij moet doen:
- iOS en Android: een toegangscode of schermvergrendeling instellen.
- Windows: Windows Hello of een wachtwoord voor het account instellen, en zich op de computer zelf aanmelden in plaats van via een externe sessie.
- Linux: zich aanmelden vanuit de desktopsessie. Een tarball-installatie of een Nix-installatie per gebruiker heeft eerst één installatiestap nodig, die de aanmeldpagina toont: een commando om als root uit te voeren, of een wijziging in de NixOS-systeemconfiguratie. De deb-, rpm- en Nix-pakketten hebben geen extra stap nodig.
- Een oudere versie van XFA: de gebruiker ziet "Werk XFA bij op dit toestel om je aan te melden." en werkt XFA bij.
De gebruikersgids leidt gebruikers door elk geval. Kunnen gebruikers hun toestel niet in orde brengen, zet Zero-touch Built-in Passkey dan weer aan voor die integratie. Ze melden zich dan weer aan zonder de vraag.
De MFA van een gebruiker resetten
- Ga naar Toestellen, open het tabblad Personen, open het actiemenu naast de gebruiker en kies MFA beheren. Kies Alle MFA resetten om alle MFA-methodes te verwijderen, of Verwijderen naast een methode om alleen die registratie te verwijderen. De gebruiker stelt een verwijderde methode opnieuw in wanneer dat nodig is.
- Open op het tabblad Toestellen het actiemenu van het toestel en kies Built-in passkey verwijderen, onder MFA als dat submenu aanwezig is. Dit verwijdert Built-in passkey alleen voor dat toestel; andere toestellen, TOTP en passkeys blijven staan.