Paramètres MFA

Sélectionnez les méthodes MFA proposées aux utilisateurs. Chaque méthode s’affiche sous forme de carte, avec un interrupteur et le nombre d’utilisateurs enrôlés avec cette méthode.
Vous pouvez activer plusieurs méthodes en même temps, mais au moins une méthode doit rester activée.

Le nombre d’utilisateurs enrôlés renvoie vers la vue correspondante dans Environnement ▸ Utilisateurs ▸ Audités par UserLock. Ces vues listent les utilisateurs avec MFA, sans MFA, et enrôlés avec chaque méthode.

Les clés de sécurité FIDO2 sont liées à un Relying Party ID (RP ID), c’est-à-dire un nom de domaine. Vous le définissez dans la boîte de dialogue Configurer FIDO2 lorsque vous activez la méthode. Le contenu de cette boîte de dialogue varie selon qu’une URL publique de l’application MFA IIS est configurée ou non dans MFA pour les sites web sur serveurs IIS.

Lorsque des utilisateurs sont déjà enrôlés avec FIDO2, la boîte de dialogue affiche le RP ID enregistré en lecture seule.

Sélectionnez Continuer, puis enregistrez la page. Pour des conseils de déploiement, voir Configurer les clés de sécurité FIDO2 pour la MFA.

Une fois FIDO2 activé, la carte affiche le RP ID avec une icône de modification. Cette icône n’est disponible que pour les utilisateurs disposant de l’autorisation complète sur les Paramètres du serveur.

Vous ne pouvez modifier le RP ID que si aucun utilisateur n’est enrôlé avec FIDO2. Si des utilisateurs sont enrôlés, l’icône de modification ouvre la boîte de dialogue Désenrôler les utilisateurs FIDO2 pour modifier le RP ID au lieu de la boîte de dialogue de configuration : réinitialisez d’abord la configuration MFA de ces utilisateurs. Ils devront enrôler de nouveau leurs clés. Contactez le support IS Decisions avant de modifier le RP ID.

• Version de UserLock Server : FIDO2 nécessite UserLock Server 13.1 ou une version ultérieure. Sur une version antérieure, l’interrupteur est verrouillé.

• Serveur de secours : FIDO2 ne peut pas être activé depuis un serveur de secours. Le RP ID est synchronisé depuis le serveur principal.

• SSO : lorsque le SSO est configuré, FIDO2 nécessite l’application UserLock IIS MFA. Sinon, la console affiche Installez MFA IIS pour activer FIDO2.

• Agent MFA IIS : si un agent MFA IIS est enregistré, l’URL publique doit être une URL HTTPS absolue valide avant de pouvoir activer FIDO2.

• Terminal Server autonome : aucune boîte de dialogue ne s’ouvre. Le RP ID correspond au nom de la machine et ne peut pas être modifié.

UserLock peut exiger la MFA pour les applications web hébergées sur Microsoft IIS. Il ajoute une seconde étape d’authentification après l’authentification Windows, sans modifier l’application. Pour l’utiliser :

• Installez et configurez l’agent IIS sur le serveur web.

• Installez l’application UserLock IIS MFA, qui affiche les invites MFA. Voir Applications IIS.

• Appliquez aux utilisateurs ciblés une règle d’accès qui exige la MFA.

Cette section n'est pas disponible sur un Terminal Server autonome.

Les clés de sécurité FIDO2 sont liées au domaine du RP ID : l’URL publique doit donc rester dans ce domaine. Lorsque FIDO2 est activé, l’URL est découpée en segments :

https:// [Sous-domaine] .<RP ID>: [Port] / [Chemin de l’application]

• Vous ne pouvez modifier que le sous-domaine, le port et le chemin de l’application. Les autres parties sont verrouillées.

• Si aucune URL publique n’est configurée, sélectionnez Ajouter une URL publique. La console renseigne alors une URL par défaut construite sur le RP ID : https://<RP ID>/ulmfa.

• Supprimer réinitialise l’URL à l’état non configuré, sans modifier le RP ID. Lorsque le SSO est configuré, Supprimer n’est pas disponible, car le SSO nécessite l’application MFA IIS.

• Le champ URL privée est masqué. L’activation de FIDO2 supprime toute URL privée déjà configurée.

Contrôlez la façon dont les utilisateurs s’enrôlent à la MFA et récupèrent l’accès lorsque leur méthode principale n’est pas disponible.

Permet aux utilisateurs d’enregistrer une méthode MFA de secours lors de l’enrôlement, au cas où ils perdraient l’accès à leur méthode principale.

Activé et Forcer ne sont disponibles que si l’une de ces conditions est remplie :

• Au moins deux méthodes parmi Notifications push, Application d’authentification (TOTP) et Clés USB (HOTP) sont activées.

• Clés de sécurité FIDO2 est activé. Une seconde clé de sécurité peut alors servir de méthode de secours.

Vous pouvez activer en même temps les clés de sécurité FIDO2 et les notifications push sur le serveur, mais un utilisateur ne peut pas avoir les deux, que ce soit comme méthode principale ou de secours. Il en va de même pour les clés de sécurité FIDO2 et les clés USB (HOTP). Un utilisateur enrôlé avec une clé de sécurité enregistre comme méthode de secours une seconde clé de sécurité ou une application d’authentification (TOTP). Avec une seconde clé, il dispose de deux clés FIDO2 : une clé principale et une clé de secours.

Codes à usage unique qui remplacent le second facteur lorsque la méthode MFA de l’utilisateur n’est pas disponible.

• Codes par utilisateur : de 4 à 20.

• UserLock génère automatiquement les codes lors de l’enrôlement et ne les affiche qu’une seule fois. Les utilisateurs doivent les conserver en lieu sûr.

• Chaque code ne fonctionne qu’une seule fois.

Sélectionnez Voir un exemple pour afficher les codes tels que les utilisateurs les voient.

Ajoute un bouton Demander de l’aide aux invites MFA et aux écrans d’enrôlement. Les utilisateurs le sélectionnent lorsqu’ils ne parviennent pas à effectuer la MFA, par exemple après la perte de leur appareil.

• Saisissez au moins un destinataire, par popup ou par e-mail.

• Les notifications par e-mail nécessitent que les Paramètres e-mail soient configurés. Sinon, la console affiche un avertissement.

Les demandes apparaissent sur la page Demandes d’aide MFA, dans Activité. Depuis cette page, les administrateurs peuvent :

• désactiver temporairement la MFA pour l’utilisateur ;

• réinitialiser la configuration MFA de l’utilisateur ;

• marquer la demande comme résolue.

Vous pouvez personnaliser les messages et notifications MFA affichés aux utilisateurs et aux opérateurs UserLock, comme l’invite de configuration MFA, le message d’erreur MFA ou la notification « Demander de l’aide ». Sélectionnez Personnaliser pour ouvrir Messages.