Applications RADIUS dans Okta

La taille du message de vérification peut être trop importante pour l'invite RADIUS si vous laissez les utilisateurs inscrire trop de facteurs. Okta vous recommande de ne pas inscrire plus de huit facteurs à la fois.

Okta prend en charge les facteurs suivants pour les applications RADIUS :

Facteur de MFA	Protocole d'authentification par mot de passe (PAP)	Protocole d'authentification extensible - Carte à jeton générique (EAP-GTC)	Protocole d'authentification extensible - Sécurité de la couche transport tunnelisée (EAP-TTLS)*
Authentification TOTP (Mot de passe à usage unique et à durée limitée) personnalisée	Pris(e) en charge	Pris(e) en charge	Pris(e) en charge (dès lors que le défi est évité). Par exemple, MFA uniquement ou « Mot de passe, code d'accès ».
Duo (Push, SMS et code d'accès uniquement)	Pris(e) en charge	Pris(e) en charge	Code d'accès Duo seulement.
E-mail	Pris(e) en charge	Pris(e) en charge	Pris en charge lorsque la chaîne « E-MAIL » est initialement envoyée. Reportez-vous à la note associée.
Google Authenticator	Pris(e) en charge	Pris(e) en charge	Pris en charge (dès lors que le challenge est évité). Par exemple, MFA uniquement ou « Mot de passe, code d'accès ».
Okta Verify (TOTP [Mot de passe à usage unique et à durée limitée] et PUSH)	Pris(e) en charge	Pris(e) en charge	Pris en charge (dès lors que le challenge est évité). Par exemple, MFA uniquement ou « Mot de passe, MFA » pour TOTP (Mot de passe à usage unique et à durée limitée). Les notifications push peuvent fonctionner avec la MFA principale puisque que la vérification push est envoyée hors bande.
Okta Verify (vérification par nombre)	Non pris(e) en charge	Non pris(e) en charge	Non pris(e) en charge
Jeton RSA/MFA locale	Pris(e) en charge	Pris(e) en charge	Pris(e) en charge (dès lors que le défi est évité). Par exemple, MFA uniquement ou « Mot de passe, code secret ».
Question de sécurité	Pris(e) en charge (mot de passe et MFA uniquement)	Pris(e) en charge (mot de passe + MFA uniquement).	Non pris(e) en charge
Authentification par SMS	Pris(e) en charge	Pris(e) en charge	Pris en charge lorsque la chaîne « SMS » est envoyée. Reportez-vous à la note associée.
Symantec VIP	Pris(e) en charge	Pris(e) en charge	Pris(e) en charge (dès lors que le défi est évité). Par exemple, MFA uniquement ou « Mot de passe, code secret ».
Appel vocal	Pris(e) en charge	Pris(e) en charge	Pris en charge lorsque la chaîne « CALL » est envoyée. Reportez-vous à la note associée.
YubiKey	Pris(e) en charge	Pris(e) en charge	Pris(e) en charge (dès lors que le défi est évité). Par exemple, MFA uniquement ou « Mot de passe, code d'accès ».

* RADIUS prend en charge trois méthodes d'authentification :

• Mot de passe + MFA : l'authentification principale se fait à l'aide d'un mot de passe, puis l'utilisateur est invité à choisir des facteurs pour terminer l'authentification.
• MFA uniquement : plutôt qu'un mot de passe, l'utilisateur saisit un code d'accès à usage unique (un OTP) ou bien « E- MAIL», « SMS », « APPEL» ou « PUSH » (maj/min acceptées).
• Mot de passe, code d'accès : le mot de passe est saisi immédiatement, suivi par un code d'accès dans une requête.
  Il doit s'agir de la même requête, par exemple : Abcd1234,879890 ou Abcd1234,SmS.

Le protocole prend en charge les méthodes d'authentification suivantes :

Protocole	Prend en charge
PAP	Mot de passe et authentification multifacteur, authentification multifacteur, « Mot de passe et code d'accès ».
EAP-TTLS	Authentification multifacteur uniquement, « Mot de passe et code d'accès ».
EAP-GTC	Mot de passe et authentification multifacteur, authentification multifacteur uniquement, « Mot de passe et code d'accès ».

Fonctionnalités

• Assistance pour plusieurs applications et infrastructures compatibles avec RADIUS

  Chaque composant d'application et d'infrastructure (par exemple, les VPN) peut être configuré de manière unique en utilisant le même agent RADIUS Okta. L'agent peut écouter plusieurs ports distincts pour des configurations RADIUS séparées. Par exemple, alors que Cisco AnyConnect utilise le port UDP 1812 de RADIUS, une autre application locale peut utiliser le port UDP 1813 de RADIUS.

• Configurations propres aux groupes et aux utilisateurs

  Les administrateurs peuvent limiter l'accès aux applications et à l'infrastructure RADIUS à certains utilisateurs et groupes.

• Transférer la propriété de groupe aux applications RADIUS

  Okta transmet une liste des groupes d'un utilisateur vers une infrastructure ou application RADIUS. Cela permet aux administrateurs de prendre en charge des autorisations plus affinées, avec différents niveaux d'accès et de sécurité basés sur l'appartenance à un groupe.

• Fournir une authentification multifacteur et une sécurité basées sur les adresses IP

  En résolvant l'adresse IP d'un client qui tente de se connecter à une application ou infrastructure compatible avec RADIUS, les administrateurs ont la possibilité de configurer leur accès en fonction de la plage IP ou de la zone réseau de l'utilisateur. Consultez Réseau.

• Configuration centralisée basée sur le cloud

  Les administrateurs sont en mesure de gérer la totalité des configurations de leurs infrastructures et applications compatibles avec RADIUS à partir de l'Okta Admin Console. Ils n'ont pas besoin d'effectuer les modifications directement sur le serveur de l'agent RADIUS Okta.

• 2FA uniquement (mode sans mot de passe)

  Vous pouvez configurer une application compatible avec RADIUS de manière à ce qu'elle utilise uniquement le second facteur d'une authentification multifacteur. On appelle ce procédé le « mode sans mot de passe ».

  Lorsque vous configurez l'application pour activer le mode 2FA, décochez la case Okta réalise l'authentification principale, assurez-vous d'utiliser un port UDP unique et vérifiez le format pour Format du nom d'utilisateur de l'application.

Limitations

1. Le port RADIUS et la clé secrète partagée sont capturés à partir de la Okta Admin Console par l'intermédiaire de tout VPN ou de toute application RADIUS configurée. Toutes les informations saisies à partir des invites de l'agent RADIUS sont disponibles si une organisation active la fonctionnalité après la saisie des informations.
2. L'infrastructure Wi-Fi n'est pas prise en charge.
3. L'agent RADIUS prend uniquement en charge l'authentification PAP. Aucun autre protocole n'est pris en charge.