Configuration souple de l'authentificateur Okta Verify

La configuration flexible de l’authentificateur Okta Verify sépare les méthodes Okta Verify groupées en authentificateurs distincts que vous pouvez configurer, affecter et gérer indépendamment.

Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

L'authentificateur Okta Verify prend en charge les méthodes d'authentification suivantes :

Okta FastPass (résistant au hameçonnage, lié à l’appareil)
Notification Push
Code d'accès à usage unique basé sur le temps (TOTP)

Auparavant, ces méthodes étaient regroupées sous la forme d'un seul authentificateur, et il n'était pas possible de les affecter séparément à différents groupes d'utilisateurs. Lorsque vous activez cette fonctionnalité, vous remplacez l’authentificateur Okta Verify groupé par des authentificateurs configurables séparément :

Okta Verify - Okta FastPass
Okta Verify - notification push
Okta Verify - TOTP

Cela vous permet d’attribuer et de configurer chaque méthode d’authentification indépendamment pour un groupe d’utilisateurs.

Avant de commencer

Avant d’activer cette fonctionnalité, veuillez consulter les informations suivantes :

Mettez à jour tous les appareils de votre org vers une version prise en charge de Okta Verify (9.68.0 ou ultérieure pour iOS ou 9.0.0 ou ultérieure pour Android).
Chacun des trois authentificateurs individuels (Okta Verify - Okta FastPass ; Okta Verify - notification push et Okta Verify - TOTP) dispose d'un paramètre de période de grâce. Cependant, Okta applique une période de grâce unique à toutes les Okta Verify authentifications au sein de la même stratégie d'enrôlement d'authentification. Vous ne pouvez pas définir de périodes de grâce différentes pour des authentificateurs individuels au sein de la même stratégie.

Activer la configuration flexible de l'authentificateur Okta Verify

ATTENTION : Activez cette fonctionnalité pendant une fenêtre de maintenance ou une autre période de faible activité de l'utilisateur. Parce qu'elle remplace de manière permanente la configuration de l'authentificateur Okta Verify groupée, les utilisateurs qui sont en train de s'authentifier peuvent rencontrer des perturbations lors du processus de connexion. Si vous activez cette fonctionnalité et souhaitez la désactiver ultérieurement, vous ne pourrez pas le faire depuis la page Fonctionnalités. Vous devez contacter le Support Okta pour obtenir de l'aide.

Pour activer la fonctionnalité de configuration flexible de l’authentificateurOkta Verify dans l’Admin Console, accédez à Paramètres > Fonctionnalités.

Après avoir activé la fonctionnalité, l'authentificateur Okta Verify groupé n'est plus disponible et ne peut pas être réactivé, modifié ou référencé dans les règles de politique nouvellement créées après le remplacement.

Paramètres de l'authentificateur par méthode Okta Verify

Après avoir activé la configuration flexible de l'authentificateur Okta Verify, Okta Verify – TOTP, Okta Verify – Notification push, et Okta Verify – Okta FastPass ont chacun leurs propres paramètres, plus deux paramètres partagés parmi les trois.

Impact sur les politiques actuelles d'inscription de l'authentificateur

Lorsque vous activez la configuration flexible de l'authentificateur Okta Verify, les politiques d’authentification avec Okta Verify définie sur Facultatif ou Désactivé ne sont pas affectées.

Les politiques d’authentification avec Okta Verify définie sur Obligatoire sont automatiquement traduites vers les trois nouveaux authentificateurs, comme détaillé dans le tableau suivant :

Méthodes Okta Verify précédentes	Méthodes Okta Verify actuelles
	Okta Verify - Okta FastPass	Okta Verify - notification push	Okta Verify - TOTP
Okta FastPass, notification push et TOTP	Obligatoire	Facultatif	Facultatif
Notification push et TOTP	Désactivé	Obligatoire	Facultatif
Okta FastPass et TOTP	Obligatoire	Désactivé	Facultatif
TOTP uniquement	Désactivé	Désactivé	Obligatoire

Après avoir activé la configuration flexible de l'authentificateur Okta Verify, vous pouvez définir chaque authentificateur Okta Verify séparément dans votre politique d'enrôlement de l'authentificateur.

Configurations d'enrôlement Okta Verify recommandées

Pour encourager l’authentification résistante au hameçonnage, Okta recommande de définir Okta Verify - Okta FastPass sur Obligatoire, de configurer l’inscription depuis le même appareil, et de définir Okta Verify - TOTP et Okta Verify - Notification push sur Facultatif dans votre politique d’enrôlement de l'authentificateur.

Définir Okta Verify – Notification push sur Facultatif est recommandé, car Okta Verify sur ordinateur de bureau ne prend pas en charge les notifications push, et les utilisateurs d’ordinateurs de bureau devraient donc s'inscrire sur un appareil mobile.

Le tableau suivant présente le comportement d'inscription en fonction de la configuration des authentificateurs :

Okta Verify - Okta FastPass	Okta Verify - notification push	Okta Verify - TOTP	Comportement d'inscription
Obligatoire	Facultatif ou désactivé	Facultatif	Les utilisateurs s'inscrivent sur un ordinateur de bureau ou un appareil mobile en utilisant l'enrôlement depuis le même appareil.
Obligatoire	Obligatoire	Facultatif ou Obligatoire.	Les utilisateurs s’inscrivent sur un appareil mobile.
Désactivé	Obligatoire	Facultatif	Les utilisateurs s’inscrivent sur un appareil mobile. L'inscription d'un même appareil sur un ordinateur de bureau n'est pas disponible.
Désactivé	Désactivé	Obligatoire	Les utilisateurs s’inscrivent sur un appareil mobile. L'inscription d'un même appareil sur un ordinateur de bureau n'est pas disponible.

Comment Okta détermine le flux d'enrôlement

Okta détermine le flux d'enrôlement en fonction des éléments suivants :

Les authentificateurs Okta Verify (TOTP, Notification push ou Okta FastPass) auxquelles les utilisateurs finaux sont autorisés à s'inscrire, en fonction de leur stratégie d'enrôlement des authentifications.
L'appareil (ordinateur de bureau ou mobile) depuis lequel l'utilisateur tente de s'inscrire.
Si Okta FastPass est le seul authentificateur requis, ce qui détermine l'inscription sur le même appareil.

Authentificateurs autorisés par la politique	Appareil de l'utilisateur	Processus d’enrôlement
Okta FastPass, et soit TOTP, soit notification push, soit les deux	Bureau	L'utilisateur est invité à s'inscrire depuis un appareil mobile. Une fois Okta FastPass inscrit, les autres authentificateurs autorisés deviennent facultatifs.
Okta FastPass, et soit TOTP, soit notification push, soit les deux	Mobile	L'enrôlement sur le même appareil commence. Une fois Okta FastPass inscrit, les autres authentificateurs autorisés deviennent facultatifs.
Okta FastPass uniquement	Ordinateur de bureau ou mobile	L'inscription sur le même appareil démarre, quel que soit l'appareil.

Comment Okta détermine l'exigence de vérification de l’utilisateur

Chacun des trois authentificateurs peut avoir ses propres paramètres d'Enrôlement (Obligatoire ou Préféré). Étant donné que les utilisateurs finaux n'effectuent qu'une seule étape de vérification pour tous leurs authentificateurs éligibles, Okta les regroupe en une seule exigence de vérification de l’utilisateur :

Okta ne prend en compte que les authentificateurs qui sont Actifs et non Désactivé pour cet utilisateur, conformément à sa politique d'enrôlement des authentificateurs.
Okta applique le paramètre le plus strict : par exemple, Obligatoire l'emporte sur Préféré.

Le tableau suivant présente quelques exemples :

Paramètres de la politique	Exigence d'enrôlement
Notification push et TOTP sont définis sur Obligatoire. L’enrôlement est défini comme Préféré. Okta FastPass est Actif mais Désactivé.	Privilégiée
Notification push et TOTP sont définis sur Obligatoire. L’enrôlement est défini comme Obligatoire. Okta FastPass est Actif mais Désactivé.	Obligatoire