Configuration souple de l'authentificateur Okta Verify

La configuration flexible de l'authentificateur Okta Verify sépare les méthodes Okta Verify groupées en authentificateurs distincts que vous pouvez configurer, affecter et gérer indépendamment.

Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

L'authentificateur Okta Verify prend en charge les méthodes d'authentification suivantes :

Okta FastPass (résistant au hameçonnage, lié à l'appareil)
Notification Push
Code d'accès à usage unique basé sur le temps (TOTP)

Auparavant, ces méthodes étaient regroupées sous la forme d'un seul authentificateur, et il n'était pas possible de les affecter séparément à différents groupes d'utilisateurs. Lorsque vous activez cette fonctionnalité, vous remplacez l'authentificateur Okta Verify groupé par des authentificateurs configurables séparément :

Okta Verify - Okta FastPass
Okta Verify - notification push
Okta Verify - TOTP

Cela vous permet d'attribuer et de configurer chaque méthode d'authentification indépendamment pour un groupe d'utilisateurs.

Avant de commencer

Avant d'activer cette fonctionnalité, veuillez consulter les informations suivantes :

Mettez à jour tous les appareils de votre org vers une version prise en charge de Okta Verify (9.68.0 ou ultérieure pour iOS ou 9.0.0 ou ultérieure pour Android).
Chacun des trois authentificateurs individuels (Okta Verify - Okta FastPass ; Okta Verify - notification push et Okta Verify - TOTP) dispose d'un paramètre de période de grâce. Cependant, Okta applique une période de grâce unique à tous les authentificateurs Okta Verify au sein de la même politique d'enrôlement à des authentificateurs. Vous ne pouvez pas définir de périodes de grâce différentes pour des authentificateurs individuels au sein de la même politique.
Vérifiez les règles de politique d'enrôlement à des authentificateurs qui s'appliquent à chacun des trois authentificateurs individuels. Une fois que vous aurez activé cette fonctionnalité, le fait de laisser une règle définie sur Refusé ou Autoriser la récupération héritée uniquement pourra masquer les options de connexion pour les utilisateurs concernés. Consultez Impact sur les politiques actuelles d'enrôlement à des authentificateurs.

Activer la configuration flexible de l'authentificateur Okta Verify

ATTENTION : Activez cette fonctionnalité pendant une fenêtre de maintenance ou une autre période de faible activité de l'utilisateur. Parce qu'elle remplace de manière permanente la configuration de l'authentificateur Okta Verify groupée, les utilisateurs qui sont en train de s'authentifier peuvent rencontrer des perturbations lors du processus de connexion. Si vous activez cette fonctionnalité et souhaitez la désactiver ultérieurement, vous ne pourrez pas le faire depuis la page Fonctionnalités. Vous devez contacter le Support Okta pour obtenir de l'aide.

Pour activer la fonctionnalité de configuration flexible de l'authentificateur Okta Verify dans l'Admin Console, accédez à Paramètres > Fonctionnalités.

Après avoir activé la fonctionnalité, l'authentificateur Okta Verify groupé n'est plus disponible et ne peut pas être réactivé, modifié ou référencé dans les règles de politique nouvellement créées après le remplacement.

Paramètres de l'authentificateur par méthode Okta Verify

Après avoir activé la configuration flexible de l'authentificateur Okta Verify, Okta Verify – TOTP, Okta Verify – Notification push, et Okta Verify – Okta FastPass ont chacun leurs propres paramètres, plus deux paramètres partagés parmi les trois.

Impact sur les politiques actuelles d'enrôlement de l'authentificateur

Lorsque vous activez la configuration flexible de l'authentificateur Okta Verify, les politiques d'authentification avec Okta Verify définie sur Facultatif ou Désactivé ne sont pas affectées.

Les politiques d'authentification avec Okta Verify définie sur Obligatoire sont automatiquement traduites vers les trois nouveaux authentificateurs, comme détaillé dans le tableau suivant :

Méthodes Okta Verify précédentes	Méthodes Okta Verify actuelles
	Okta Verify - Okta FastPass	Okta Verify - notification push	Okta Verify - TOTP
Okta FastPass, notification push et TOTP	Obligatoire	Facultatif	Facultatif
Notification push et TOTP	Désactivé	Obligatoire	Facultatif
Okta FastPass et TOTP	Obligatoire	Désactivé	Facultatif
TOTP uniquement	Désactivé	Désactivé	Obligatoire

Après avoir activé la configuration flexible de l'authentificateur Okta Verify, vous pouvez définir chaque authentificateur Okta Verify séparément dans votre politique d'enrôlement à des authentificateurs.

ATTENTION : Une fois cette fonctionnalité activée, le client Okta Verify évalue la règle de politique d'enrôlement à des authentificateurs applicable de l'utilisateur afin de déterminer les enrôlements d'authentificateur Okta Verify éligibles. Si cette règle est définie sur Refusé ou Autoriser la récupération héritée uniquement pour un authentificateur Okta Verify individuel, le client interprète cela comme un refus d'enrôlement dans cet authentificateur et masque l'option de connexion correspondante. Si aucune autre option de connexion n'est accessible à l'utilisateur, cela peut entraîner une page Options de connexion vide ou avoir pour conséquence que TOTP ne soit plus affiché sur la page Okta Verify principale du compte de l'utilisateur.

Configurations d'enrôlement Okta Verify recommandées

Pour encourager l'authentification résistante au hameçonnage, Okta recommande de définir Okta Verify - Okta FastPass sur Obligatoire, de configurer l'enrôlement depuis le même appareil, et de définir Okta Verify - TOTP et Okta Verify - Notification push sur Facultatif dans votre politique d'enrôlement à des authentificateurs.

Définir Okta Verify – Notification push sur Facultatif est recommandé, car Okta Verify sur ordinateur de bureau ne prend pas en charge les notifications push, et les utilisateurs d'ordinateurs de bureau devraient donc s'inscrire sur un appareil mobile.

Le tableau suivant présente le comportement d'enrôlement en fonction de la configuration des authentificateurs :

Okta Verify - Okta FastPass	Okta Verify - notification push	Okta Verify - TOTP	Comportement d'enrôlement
Obligatoire	Facultatif ou désactivé	Facultatif	Les utilisateurs s'inscrivent sur un ordinateur de bureau ou un appareil mobile en utilisant l'enrôlement depuis le même appareil.
Obligatoire	Obligatoire	Facultatif ou Obligatoire.	Les utilisateurs s'inscrivent sur un appareil mobile.
Désactivé	Obligatoire	Facultatif	Les utilisateurs s'inscrivent sur un appareil mobile. L'enrôlement sur le même appareil depuis un ordinateur de bureau n'est pas disponible.
Désactivé	Désactivé	Obligatoire	Les utilisateurs s'inscrivent sur un appareil mobile. L'enrôlement sur le même appareil depuis un ordinateur de bureau n'est pas disponible.

Comment Okta détermine le flux d'enrôlement

Okta détermine le flux d'enrôlement en fonction des éléments suivants :

Les authentificateurs Okta Verify (TOTP, Notification push ou Okta FastPass) auxquelles les utilisateurs finaux sont autorisés à s'inscrire, en fonction de leur politique d'enrôlement à des authentificateurs.
L'appareil (ordinateur de bureau ou mobile) depuis lequel l'utilisateur tente de s'inscrire.
Si Okta FastPass est le seul authentificateur requis, ce qui détermine l'enrôlement sur le même appareil.

Authentificateurs autorisés par la politique	Appareil de l'utilisateur	Processus d'enrôlement
Okta FastPass, et soit TOTP, soit notification push, soit les deux	Ordinateur de bureau	L'utilisateur est invité à s'enrôler depuis un appareil mobile. Une fois Okta FastPass inscrit, les autres authentificateurs autorisés deviennent facultatifs.
Okta FastPass, et soit TOTP, soit notification push, soit les deux	Mobile	L'enrôlement sur le même appareil commence. Une fois Okta FastPass inscrit, les autres authentificateurs autorisés deviennent facultatifs.
Okta FastPass uniquement	Ordinateur de bureau ou mobile	L'enrôlement sur le même appareil démarre, quel que soit l'appareil.

Comment Okta détermine l'exigence de vérification de l'utilisateur

Chacun des trois authentificateurs peut avoir ses propres paramètres d'Enrôlement (Obligatoire ou Préféré). Étant donné que les utilisateurs finaux n'effectuent qu'une seule étape de vérification pour tous leurs authentificateurs éligibles, Okta les regroupe en une seule exigence de vérification de l'utilisateur :

Okta ne prend en compte que les authentificateurs qui sont Actifs et non Désactivé pour cet utilisateur, conformément à sa politique d'enrôlement à des authentificateurs.
Okta applique le paramètre le plus strict : par exemple, Obligatoire l'emporte sur Préféré.

Le tableau suivant présente quelques exemples :

Paramètres de la politique	Exigence d'enrôlement
Notification push et TOTP sont définis sur Obligatoire. L'enrôlement est défini comme Préféré. Okta FastPass est Actif mais Désactivé.	Préféré
Notification push et TOTP sont définis sur Obligatoire. L'enrôlement est défini comme Obligatoire. Okta FastPass est Actif mais Désactivé.	Obligatoire

Méthode d'évaluation de la politique Okta Account Management

Une fois que vous avez activé la configuration flexible des authentificateurs Okta Verify, les règles de politique Okta Account Management sont évaluées par rapport aux trois authentificateurs Okta Verify individuels, que l'utilisateur soit autorisé ou non à s'inscrire à cet authentificateur en vertu de la politique d'enrôlement MFA.

L'évaluation de la politique Okta Account Management comporte les étapes suivantes :

Identifiez les authentificateurs Okta Verify auxquels les utilisateurs sont autorisés à s'inscrire, en fonction de leur politique d'enrôlement à des authentificateurs.
Recueillez les exigences spécifiées par la politique Okta Account Management pour chacun de ces authentificateurs.
Évaluez ces exigences et demandez à l'utilisateur un challenge qui les satisfait toutes. Si une méthode de vérification supplémentaire (par exemple, la vérification de l'identité) est requise, ce challenge est effectuée en premier.

Si l'une des exigences n'est pas satisfaite pour l'un des authentificateurs Okta Verify, Okta refuse l'enrôlement pour chacun d'entre eux.

Remarque : Dans la plupart des organisations, la règle universelle de la politique Okta Account Management s'applique aux trois authentificateurs Okta Verify. Parce qu'ils partagent des exigences, ce comportement n'est pas visible tant que vous n'ajoutez pas de règles qui s'appliquent aux différents authentificateurs Okta Verify.

Consultez Politique Okta Account Management.