Configurer la MFA pour les utilisateurs sans mot de passe

Découvrez quels authentificateurs prennent en charge l'authentification multifacteur (MFA) dans des scénarios de connexion sans mot de passe et les méthodes disponibles pour configurer l'authentification à deux facteurs pour ces flux.

Authentificateurs disponibles pour les utilisateurs sans mot de passe

Les utilisateurs peuvent se connecter avec des authentificateurs qui sont configurés dans les politiques d'enrôlement des authentificateurs et les politiques de connexion à l'app.

La politique de connexion à l'app fournit différentes options de facteurs, mais pour la MFA sans mot de passe, seule l'option 2 types de facteur, quels qu'ils soient peut être utilisée.

L'option 2 types de facteur, quels qu'ils soient exige que l'utilisateur s'authentifie avec deux authentificateurs parmi deux des types de facteur suivants :

Basé sur la connaissance : quelque chose que l'utilisateur sait
Possession : quelque chose que l'utilisateur possède
Biométrie : ce que l'utilisateur est

Ces facteurs peuvent être protégés par matériel, liés à un appareil ou résistants à l'hameçonnage.

Les authentificateurs basés sur la connaissance sont notamment les mots de passe et les questions de sécurité. Étant donné que les questions de sécurité nécessitent l'utilisation d'un mot de passe inscrit pour la MFA, les authentificateurs basés sur la connaissance ne peuvent pas répondre aux exigences de la MFA pour la connexion sans mot de passe.

L'utilisateur a donc besoin d'un facteur basé sur la possession et d'un facteur biométrique pour se connecter sans mot de passe.

Configurer l'authentification à deux facteurs (2FA) pour une connexion sans mot de passe

Vous pouvez configurer l'authentification à deux facteurs pour une expérience de connexion sans mot de passe des façons suivantes :

Okta Verify ou Passkey (FIDO2 WebAuthn)

Bien qu'il existe plusieurs facteurs basés sur la possession, les options pour les facteurs biométriques ne comprennent qu'Okta Verify et Passkey (FIDO2 WebAuthn). Cependant, lorsque la biométrie est activée sur Okta Verify ou Passkey (FIDO2 WebAuthn), l'un ou l'autre répond seul aux exigences des facteurs du type Possession et Biométrie pour la 2FA. Par conséquent, l'utilisateur n'est pas invité à entrer d'autres types de facteur.

Ainsi, pour configurer l'authentification à deux facteurs pour la connexion sans mot de passe, vous avez besoin soit d'Okta Verify avec notification push, soit de Passkey (FIDO2 WebAuthn) avec la vérification de l'utilisateur définie sur Obligatoire. Lorsque la vérification de l'utilisateur est obligatoire, l'utilisateur doit activer la biométrie pendant l'enregistrement du facteur. Cette opération ajoute un composant biométrique à l'authentificateur.

Par exemple, si l'utilisateur utilise Okta Verify sur un iPhone et que la vérification de l'utilisateur est obligatoire, une vérification FaceID est effectuée avant que l'utilisateur ne soit autorisé à effectuer un challenge avec Okta Verify.

Remarque : Même lorsque la vérification de l'utilisateur est obligatoire, Okta Verify avec TOTP n'est considéré que comme facteur de possession et ne répond pas à lui seul aux exigences 2FA. En revanche, une notification push qui nécessite la vérification de l'utilisateur est à la fois un facteur de possession et un facteur biométrique, qui répond indépendamment aux exigences de la 2FA.

Pour configurer Okta Verify, consultez Configurer l'authentificateur Okta Verify.

Pour configurer Passkey (FIDO2 WebAuthn), consultez Configurer l'authentificateur Passkey (FIDO2 WebAuthn).

Okta FastPass

Okta FastPass est une configuration propre à l'appareil pour Okta Verify. Elle peut également être utilisée pour activer la connexion sans mot de passe avec une authentification à deux facteurs. Cependant, dans ce cas, Okta Verify doit être installé sur l'appareil auquel l'utilisateur se connecte.

Pour un challenge Okta Verify Push ordinaire, il n'est pas nécessaire que l'application Okta Verify soit installée sur l'appareil auquel l'utilisateur se connecte. Par exemple, si Okta Verify est installé sur un téléphone portable, il peut être utilisé pour répondre à un challenge sur l'ordinateur de bureau.

Cependant, cela n'est pas possible lorsqu'Okta FastPass est utilisé. Pour pouvoir vous connecter à votre ordinateur de bureau avec Okta FastPass, Okta Verify doit être installé sur celui-ci.

Pour configurer Okta FastPass, consultez Configurer Okta FastPass.