Configurer les groupes d'authentificateurs de Clés d'accès (FIDO2 WebAuthn)

Créez des groupes d'authentificateurs Clés d'accès (FIDO2 WebAuthn) reconnus par Okta et utilisez-les dans des politiques. Cela simplifie la tâche qui consiste à demander à vos utilisateurs de s'authentifier avec des authentificateurs spécifiques Clés d'accès (FIDO2 WebAuthn) lorsque vous créez des politiques.

  1. Dans l'Console des administrateurs, accédez à Sécurité > Authentificateurs.

  2. Dans l'onglet Configuration, cliquez sur Actions sur la ligne Clés d'accès (FIDO2 WebAuthn) , puis sélectionnez Groupe d'authentificateurs.
  3. Pour ajouter un groupe d'authentificateurs, cliquez sur Ajouter un groupe.
  4. Saisissez le nom du groupe et ajoutez des authentificateurs Clés d'accès (FIDO2 WebAuthn) au groupe.
  5. Facultatif. Sélectionnez Faire correspondre à l'AAGUID seul pour permettre aux utilisateurs d'inscrire dans le groupe certains authentificateurs qui ne fournissent pas de certificat d'attestation. Consultez Faire correspondre les authentificateurs à l'AAGUID seul.
  6. Cliquez sur Ajouter un groupe.

Pour modifier ou supprimer un groupe d'authentificateurs, trouvez-le dans la liste Groupes d'authentificateurs, puis cliquez sur Actions. Cliquez sur Modifier ou Supprimer.

Avant de pouvoir supprimer un groupe d'authentificateurs, vous devez le supprimer de toutes les politiques d'inscription d'authentification qui l'incluent. Consultez Modifier une politique d'enrôlement d'authentificateur.

Faire correspondre les authentificateurs à l'AAGUID seul

Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

Par défaut, lorsqu'une politique d'enrôlement d'authentificateur utilise un groupe d'authentificateurs, les utilisateurs peuvent uniquement inscrire un authentificateur de ce groupe si l'authentificateur fournit un certificat d'attestation valide. Certains authentificateurs ne fournissent pas toujours un certificat d'attestation lorsque les utilisateurs les inscrivent. Les utilisateurs ne peuvent pas inscrire ces authentificateurs même si leur AAGUID se trouve dans le groupe.

Pour permettre aux utilisateurs d'inscrire ces authentificateurs, sélectionnez Faire correspondre à l'AAGUID seul lorsque vous ajoutez ou modifiez le groupe. Les utilisateurs peuvent ensuite inscrire un authentificateur du groupe sans certificat d'attestation dans les cas suivants :

  • L'authentificateur signe l'attestation avec sa propre clé, et son entrée FIDO Metadata Service (MDS) répertorie basic_surrogate comme un type d'attestation.
  • L'authentificateur n'envoie pas de données d'attestation et son entrée MDS FIDO l'identifie uniquement comme un authentificateur de plateforme (avec comme indicateur de pièce jointe internal).

Avant d'utiliser cette option, activez la fonction Faire correspondre les groupes AAGUID à l'AAGUID seul pour les authentificateurs FIDO2 (WebAuthn).

Tenez compte des éléments suivants :

  • Sans certificat, Okta ne peut pas vérifier que l'authentificateur est le modèle identifié par son AAGUID.
  • Si une politique d'enrôlement d'authentificateur utilise plusieurs groupe d'authentificateurs, les utilisateurs peuvent inscrire un authentificateur sans certificat lorsque l'un de ces groupes d'authentificateurs inclut son AAGUID et que cette option sélectionnée.
  • Un authentificateur qui fournit un certificat d'attestation non validé est toujours rejeté.
  • Vous ne pouvez pas sélectionner cette option lorsque Validation d'attestation basée sur un certificat est activé pour l'authentificateur Clés d'accès (FIDO2 WebAuthn).
  • Si une règle de politique de connexion à l'application exige une protection matérielle, les utilisateurs ne peuvent pas utiliser ces authentificateurs pour répondre à cette exigence.