E-mail comme authentificateur facultatif

Découvrez comment l'e-mail en tant authentificateur facultatif fonctionne après la mise à niveau.

Modifier le résumé	L'authentificateur par e-mail est automatiquement inscrit pour les flux authentification et de récupération. Il s'agit d'un changement par rapport à Classic Engine, où il n'est disponible pour les flux authentification que si la politique d'enrôlement l'exige. L'enrôlement automatique garantit que l'utilisateur ne reçoit pas de vérifications d'enrôlement par e-mail redondantes dans les scénarios suivants : Ils ont déjà apporté la preuve qu'ils sont propriétaires de l'adresse e-mail (utilisateurs créés par le biais de l'enregistrement en libre-service). Ils n'ont pas besoin de prouver qu'ils sont propriétaires de l'adresse e-mail (utilisateurs créés par l'administrateur). Lorsque l'e-mail est défini comme un authentificateur facultatif, les adresses e-mail principales ne sont enrôlées automatiquement que si vous activez spécifiquement le paramètre d'auto-enrôlement au sein de cette politique. Consultez Faire de l'e-mail un authentificateur facultatif.
Expérience de l'administrateur	Si vous avez une politique qui exige que l'e-mail soit un facteur Facultatif après la mise à niveau, vous pouvez gérer l'auto-enrôlement de l'e-mail et le comportement de récupération par politique. Consultez Faire de l'e-mail un authentificateur facultatif. Pour les invites d'enrôlement de récupération de compte que les utilisateurs finaux voient lorsqu'ils n'ont pas d'authentificateur de récupération obligatoire, consultez Ignorer l'authentificateur e-mail à enrôlement automatique. Sinon, le facteur E-mail doit être défini sur Désactivé ou Requis avant la mise à niveau. Consultez la documentation Classic Engine : Configurer une politique d'enrôlement MFA. Ensuite, dans Identity Engine, choisissez le paramètre de l'authentificateur d'e-mail en fonction de votre cas d'utilisation : Désactivé : recommandé si les comptes de messagerie principaux de vos utilisateurs sont protégés par Okta. Les e-mails d'authentification sont envoyés uniquement à l'adresse e-mail principale et non à l'adresse e-mail secondaire. Requis : recommandé pour les cas d'utilisation de la main-d'œuvre étendue et les cas d'utilisation de la Gestion des accès et des identités (CIAM). La validation de l'adresse e-mail principale est un cas d'utilisation courant pour ces identités. La valeur par défaut pour l'authentificateur par e-mail est de cinq minutes, mais vous pouvez augmenter cette valeur par incréments de cinq minutes, jusqu'à 30 minutes. La pratique la plus courante acceptée est de 10 minutes ou moins. Si un utilisateur final clique sur un lien magique expiré, il doit se connecter à nouveau.
Expérience utilisateur	L'e-mail est automatiquement inscrit comme authentificateur, sauf lorsqu'il s'agit d'un authentificateur facultatif. Il peut apparaître comme un authentificateur si d'autres politiques l'autorisent, même lorsque l'utilisateur s'est inscrit à d'autres authentificateurs requis. En fonction du mode de création de l'utilisateur et du paramétrage du mot de passe, il se peut que l'utilisateur ne soit pas invité à s'inscrire à d'autres authentificateurs facultatifs lors de sa première connexion.
Rubriques connexes	Faire de l'e-mail un authentificateur facultatif Créer une politique d'enrôlement à l'authentification À propos des politiques et règles d'enrôlement d'authentification