Pular para o conteúdo principal

Configurar o Built-in passkey numa integração

Com o Built-in passkey, um dispositivo em que o utilizador confia passa a ser o seu segundo fator. Depois de o dispositivo ser de confiança, o utilizador normalmente inicia sessão nele sem mais pedidos, porque o XFA verifica o dispositivo em segundo plano. No painel, ativa-o com Built-in Passkey.

Este guia parte do princípio de que é administrador da sua organização no XFA. Se ainda não tiver conta, pode registar-se.

O Built-in passkey é um de três métodos de MFA. Para o comparar com o TOTP e as chaves de acesso, consulte Métodos de MFA.

Ativar o Built-in passkey

  1. No painel XFA, vá a Enforcement.
  2. Clique em Novo para criar uma integração, ou em Gerir numa integração existente.
  3. Em Autenticação multifator, ative Built-in Passkey.

Os utilizadores que iniciam sessão através desta integração confirmam agora o início de sessão com um dispositivo de confiança.

O MFA não está disponível para integrações OpenID Connect (OAuth 2.0), aplicações IdP ou ligações de Discovery. Pode ser utilizado com o Agentless sign-in.

Opções

Estas duas opções permanecem visíveis mesmo quando o MFA está desligado:

OpçãoO que faz
Aprovar automaticamente o primeiro dispositivoAprova sem confirmação por e-mail o primeiro dispositivo em que um utilizador confia, para que os novos utilizadores possam começar logo.
Dupla verificação de identidadeVolta a verificar a identidade, incluindo em dispositivos de confiança. O método de verificação disponível ou a aprovação automática determina se o utilizador precisa de agir. Aplica-se apenas ao Built-in passkey e requer um plano com opções avançadas de MFA. As chaves de acesso são sempre pedidas, independentemente desta definição.

Desativar o MFA

Ao criar uma integração, desligar o último método de MFA ativo pede confirmação. Escolha Desativar MFA ou Manter MFA ativada. Ao editar uma integração existente, guarde ou descarte a alteração na barra de alterações não guardadas; não aparece uma caixa de diálogo de desativação.

O que os utilizadores veem

Primeiro dispositivo

Na primeira vez que um utilizador inicia sessão num dispositivo, o XFA pergunta se quer confiar nele. O utilizador escolhe Trust this device ou Don't trust, e o XFA verifica o dispositivo em ambos os casos. Com Trust this device, normalmente não é precisa outra confirmação nos inícios de sessão seguintes. O XFA pode depois aprovar o dispositivo automaticamente ou enviar um e-mail ao utilizador. O utilizador clica no botão desse e-mail, volta à página de início de sessão e fica com a sessão iniciada. Com Aprovar automaticamente o primeiro dispositivo ativo, o passo do e-mail é ignorado.

Outro dispositivo

Quando um utilizador inicia sessão num novo dispositivo depois de já ter confiado num, o XFA pode pedir-lhe que o confirme a partir do dispositivo em que já confia. Abre a XFA App ou a extensão XFA nesse dispositivo e clica em Allow, e o início de sessão continua no novo dispositivo.

Com Dupla verificação de identidade ativa, o XFA volta a verificar a identidade mesmo num dispositivo de confiança. O método disponível, ou a aprovação automática, determina se o utilizador tem de agir.

Built-in Passkey sem interação

Beta

O Built-in Passkey sem interação está em beta e só está disponível para as organizações que participam na beta. Se não o vir em Built-in Passkey com o Built-in Passkey ativado, a sua organização ainda não o tem: contacte o XFA para aderir à beta.

O Built-in Passkey sem interação determina, por integração, se os utilizadores também confirmam que são eles no dispositivo quando o Built-in passkey inicia a sua sessão. O painel mostra-o em Built-in Passkey, apenas enquanto o Built-in Passkey estiver ativado na integração e a sua organização participar na beta.

  • Ativo: a XFA App ou o agente XFA inicia a sessão dos utilizadores num dispositivo de confiança sem lhes perguntar nada. É assim que o Built-in passkey sempre funcionou.
  • Inativo: em cada início de sessão, os utilizadores confirmam que são eles no dispositivo antes de o XFA iniciar a sua sessão. Isto prova quem está no dispositivo, e não apenas que dispositivo é.

Predefinições

  • As integrações que já existiam antes de a sua organização aderir à beta mantêm o modo sem interação ativo. Nada muda para os respetivos utilizadores até o desativar.
  • As integrações criadas depois de a sua organização aderir à beta começam com o modo sem interação inativo.

O que os utilizadores veem com o modo sem interação inativo

A página de início de sessão pede ao utilizador que confirme que é ele no dispositivo, e o dispositivo pede uma vez por início de sessão:

PlataformaComo o utilizador confirma
macOSTouch ID ou a palavra-passe de início de sessão do Mac
WindowsWindows Hello (rosto, impressão digital ou PIN), ou a palavra-passe da conta Windows quando o Windows Hello não está configurado
LinuxImpressão digital, ou a palavra-passe da conta quando não há nenhuma impressão digital registada
iOS e AndroidFace ID, Touch ID ou impressão digital, ou o código do dispositivo

Um utilizador que cancela não inicia sessão e pode tentar novamente. A impressão digital, o rosto ou a palavra-passe nunca saem do dispositivo; o XFA só fica a saber que o dispositivo confirmou o utilizador. Com Dupla verificação de identidade também ativa, acontecem os dois passos: o utilizador aprova primeiro o início de sessão noutro dispositivo (uma notificação push no telemóvel, ou um email) e, depois, o dispositivo em que inicia sessão também lhe pede que confirme que é ele antes de o Built-in passkey iniciar a sua sessão.

Dispositivos que não conseguem confirmar o utilizador

Com o modo sem interação inativo, o XFA recusa um início de sessão a partir de um dispositivo que não tem forma de confirmar o utilizador, e a página de início de sessão indica ao utilizador o que fazer:

  • iOS e Android: definir um código ou um bloqueio de ecrã.
  • Windows: configurar o Windows Hello ou uma palavra-passe para a conta, e iniciar sessão no próprio computador em vez de através de uma sessão remota.
  • Linux: iniciar sessão a partir da sessão de ambiente de trabalho. Uma instalação a partir de tarball ou uma instalação Nix por utilizador precisa primeiro de um passo de configuração, que a página de início de sessão mostra: um comando para executar como root, ou uma alteração à configuração do sistema NixOS. Os pacotes deb, rpm e Nix não precisam de nenhum passo adicional.
  • Uma versão mais antiga do XFA: o utilizador vê "Update XFA on this device to sign in." e atualiza o XFA.

O guia para utilizadores acompanha os utilizadores em cada caso. Se os utilizadores não conseguirem resolver o problema no dispositivo, volte a ativar o Built-in Passkey sem interação para essa integração. Passam então a iniciar sessão sem o pedido.

Repor o MFA de um utilizador

  • Em Dispositivos, abra o separador Pessoas, depois o menu de ações ao lado do utilizador e escolha Gerir MFA. Escolha Repor toda a MFA para remover todos os métodos de MFA, ou Remover junto a um método para remover apenas esse registo. O utilizador configura novamente um método removido quando necessário.
  • No separador Dispositivos, abra o menu de ações do dispositivo e escolha Remover Built-in passkey, em MFA se esse submenu estiver presente. Isto remove o Built-in passkey apenas desse dispositivo; os outros dispositivos, TOTP e chaves de acesso mantêm-se.