Créer une politique d'enrôlement à des authentificateurs

Créez une politique d'enrôlement à des authentificateurs pour gérer la façon dont vos utilisateurs finaux enrôlent les authentificateurs. Vous pouvez créer des politiques spécifiques aux authenficateurs, aux groupes d'utilisateurs et aux situations.

Avant de commencer

  • Configurez les authentificateurs avec lesquels vous souhaitez que vos utilisateurs se connectent. Au moins un authentificateur doit être activé pour l'authentification (MFA/SSO). Les authentificateurs que vous configurez doivent répondre aux exigences de sécurité des politiques de connexion de votre org. Voir Authentification multifacteur.
  • Les périodes de grâce ne sont pas respectées lorsque des authentificateurs sont requis, car l'enrôlement obligatoire à l'authentificateur ne peut pas être ignoré. Pour les authentificateurs qui nécessitent un enrôlement lors de l'enregistrement en libre-service (SSR), assurez-vous que votre politique d'enrôlement à des authentificateurs n'est pas configurée avec une période de grâce.
  • Pour utiliser les périodes de grâce dans votre politique, vous devez mettre à niveau votre Sign-In Widget vers la version 7.28 ou ultérieure.
  • Pour utiliser l'invite de promotion Clés d'accès (FIDO2 WebAuthn), votre Sign-In Widget doit être en version 7.48.1 ou ultérieure.
  • (Accès anticipé) Pour utiliser l'authentificateur NFC, votre Sign-In Widget doit être de version 7.48 ou ultérieure.

Créer une politique

  1. Dans l'Console des administrateurs, accédez à Sécurité > Authentificateurs.

  2. Dans l'onglet Enrôlement, cliquez sur Ajouter une politique.
  3. Saisissez un nom de politique et une description de la politique.
  4. Dans Affecter aux groupes, saisissez le ou les groupes d'utilisateurs auxquels cette politique doit s'appliquer.
  5. Pour chaque authentificateur que vous avez configuré, indiquez si l'enrôlement est Facultatif, Obligatoire ou Désactivée.
    • Au moins un de vos authentificateurs doit être Obligatoire.
    • L'option Désactivée n'est pas disponible pour les authentificateurs si une autre politique les rend obligatoires.
  6. Définissez une Période de grâce pour les authentificateurs requis :

    • Aucune : exige que les utilisateurs effectuent l'enrôlement la première fois qu'ils se connectent.

    • Date de fin : définissez une date à laquelle les utilisateurs ne peuvent plus différer l'enrôlement de l'authentificateur. Jusqu'à cette date, les utilisateurs sont invités à effectuer l'enrôlement une fois par jour.

    • Nombre d'opérations ignorées (Accès anticipé) : indiquez le nombre de fois qu'un utilisateur peut ignorer l'enrôlement de l'authentificateur avant que celui-ci ne soit obligatoire. Les utilisateurs sont invités à effectuer l'enrôlement une fois par jour jusqu'à ce qu'ils atteignent ce nombre.

  7. Pour l'authentificateur Clés d'accès (FIDO2 WebAuthn), configurez les paramètres suivants afin d'inviter périodiquement les utilisateurs qui n'ont pas encore enrôlé de clés d'accès à le faire, sans bloquer leur connexion :
    Paramètre Description
    Clés d'accès (FIDO2 WebAuthn) Enrôlement Définir la valeur sur Facultatif.
    Inviter les utilisateurs à s'enrôler
    • Cochez cette case pour afficher une invite de configuration supplémentaire qui encourage les utilisateurs à s'enrôler dans des clés d'accès.
    • Désélectionnez cette case pour désactiver l'invite de promotion.
    Après chaque connexion Sélectionnez cette option pour afficher l'invite à chaque connexion.
    Après une durée définie Sélectionnez cette option pour afficher l'invite à un intervalle temporel récurrent. Saisissez un nombre et sélectionnez une unité de temps (jours, semaines ou mois) pour définir la fréquence d'affichage de l'invite. Par exemple, si vous indiquez deux semaines, Okta affiche l'invite toutes les deux semaines.
    Ne plus afficher si l'invite est ignorée un nombre défini de fois
    • Cochez cette case et saisissez le nombre maximal de reports avant que Okta ne cesse de l'afficher. Une fois cette limite atteinte, Okta ne demande plus à l'utilisateur de s'enrôler.
    • Décochez cette case pour toujours afficher l'invite jusqu'à ce que l'utilisateur s'inscrive.

  8. Cliquez sur Créer une politique. La politique apparaît dans l'onglet Enrôlement et est définie sur Active.

Modifier une politique

  1. Pour désactiver une politique, cliquez sur le menu déroulant Actif et sélectionnez Désactiver. Une politique inactive ne s'applique à aucun utilisateur.

  2. Pour mettre à jour une politique, cliquez sur le bouton Modifier de la politique. Effectuez les modifications et cliquez sur Mettre à jour la politique. Remarque : si vous modifiez la période de grâce de Date de fin à Nombre d'opérations ignorées, le compteur se réinitialise. Si vous avez déjà utilisé le nombre d'opérations ignorées et que vous en modifiez la quantité, le nombre de fois qu'un utilisateur a déjà ignoré l'enrôlement est conservé. Par exemple, si vous passez de trois à deux opérations ignorées et que l'utilisateur a déjà ignoré l'invite une fois, il lui reste une seule possibilité de l'ignorer.

  3. Pour supprimer une politique, cliquez sur le bouton Supprimer de la politique. Une fois que vous supprimez une politique, elle ne peut pas être restaurée. Vous ne pouvez pas supprimer la politique par défaut.

  4. Pour modifier la priorité d'une politique, faites-la glisser dans la liste jusqu'au niveau souhaité.

Expérience utilisateur

Si un utilisateur n'a pas enrôlé un authenficateur obligatoire lorsqu'il accède à Okta ou à une app protégée par Okta, le Sign-In Widget l'invite à terminer l'enrôlement. Ensuite, les utilisateurs sont invités à enrôler les authentificateurs facultatifs, avec la possibilité de continuer sans enrôlement. Les utilisateurs ne voient jamais les authentificateurs désactivés lors de la connexion, même s'ils les avaient déjà enrôlés.

Périodes de grâce et politiques de connexion à l'application

Si vous avez configuré une période de grâce pour un authenficateur obligatoire, les utilisateurs qui répondent à la politique de connexion à l'application de l'application cible peuvent continuer à accéder à l'application sans enrôlement jusqu'à la fin de la période de grâce. Les utilisateurs qui ne satisfont pas à la politique de connexion à l'application de cette application cible doivent enrôler immédiatement les authentificateurs obligatoires.

Si la politique de connexion à l'application exige que les utilisateurs enrôlent un authenficateur avant de pouvoir se connecter, sa période de grâce est ignorée.

Sign-In Widget

L'affichage des authentificateurs obligatoires diffère légèrement entre la deuxième et la troisième génération du Sign-In Widget.

  • Dans la deuxième génération, les utilisateurs voient tous les authentificateurs obligatoires dans une seule liste. L'option Continuer n'apparaît que pour les utilisateurs encore dans la période de grâce.

  • Dans la troisième génération, les utilisateurs voient une liste des authentificateurs actuellement obligatoires et une deuxième liste de ceux encore en période de grâce (avec l'option Continuer). Si tous les authentificateurs sont encore dans la période de grâce, les utilisateurs voient une seule liste avec des options pour Me le rappeler ultérieurement.

Invites de promotion Clés d'accès (FIDO2 WebAuthn)

Si vous modifiez les paramètres d'invite de promotion pour une politique qui inclut l'authentificateur Clés d'accès (FIDO2 WebAuthn), tenez compte des comportements suivants :
  • Si vous modifiez le type de fréquence d'invite (p. ex., de Après chaque connexion à Après une durée définie), Okta réinitialise l'historique de suivi pour tous les utilisateurs. L'intervalle de chaque utilisateur redémarre lors de sa prochaine connexion.
  • Si vous activez l'option Ne plus afficher après un certain nombre de reports alors qu'elle était auparavant désactivée (sans limite), Okta efface le suivi actuel des reports pour tous les utilisateurs. Les utilisateurs sont de nouveau invités jusqu'à ce qu'ils atteignent la nouvelle limite de reports définie.
  • Si vous modifiez la valeur de la durée (p. ex., en modifiant Après une durée définie de deux à quatre semaines) ou si vous ajustez un nombre de reports existant, Okta conserve l'historique de suivi des utilisateurs existant :
    • Si vous modifiez la durée : Okta continue de calculer le délai écoulé depuis le dernier report de chaque utilisateur en utilisant la nouvelle durée.
    • Si vous modifiez le nombre de reports, Okta applique la limite mise à jour aux comptes de reports existants sans les réinitialiser. Par exemple, si vous modifiez la limite de reports de cinq à trois et qu'un utilisateur a déjà ignoré l'invite à deux reprises, il ne lui restera plus qu'une seul report avant qu'Okta ne cesse de lui envoyer des invites.

Créer une politique d'enrôlement à des authentificateurs avec des ensembles d'authentificateurs

Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.

Pour créer une politique avec des ensembles d'authentificateurs :
  1. Cliquez sur Ajouter une politique > Ensembles d'authentificateurs.
  2. Saisissez un nom de politique et une description de la politique.
  3. Dans Affecter aux groupes, saisissez le ou les groupes d'utilisateurs auxquels cette politique doit s'appliquer.
  4. Cliquez sur Créer un ensemble.
  5. Dans le champ Nom de l'ensemble, saisissez un nom pour l'ensemble d'authentificateurs.
  6. Cliquez sur Ajouter un authentificateur et sélectionnez un authentificateur à ajouter à l'ensemble. Veuillez tenir compte des restrictions suivantes :
    • Un authentificateur ne peut appartenir qu'à un seul ensemble au sein d'une politique.
    • Un ensemble doit contenir au moins un authentificateur.
    • Une politique peut contenir jusqu'à 25 ensembles d'authentificateurs.
    • Si vous proposez plusieurs méthodes Okta Verify (telles que Okta Verify Push, TOTP ou Okta FastPass) séparément, elles sont toutes ajoutées au même ensemble. Okta ne permet pas qu'une même méthode Okta Verify soit répartie entre différents ensembles au sein d'une seule politique.
  7. Dans le champ Nombre requis, saisissez le nombre d'authentificateurs de l'ensemble auxquels les utilisateurs doivent s'inscrire, de zéro jusqu'au nombre total d'authentificateurs dans l'ensemble :
    • Saisissez 0 pour rendre facultatifs tous les authentificateurs de l'ensemble.
    • Saisissez un nombre inférieur au nombre total d'authentificateurs dans l'ensemble pour demander aux utilisateurs de s'inscrire à ce nombre, dans n'importe quelle combinaison (N de M).
    • Saisissez le nombre total d'authentificateurs dans l'ensemble pour demander aux utilisateurs de s'inscrire à chacun d'entre eux.
    Okta traite tous les authentificateurs restants et non inscrits de l'ensemble comme étant facultatifs.
  8. Dans la section Période de grâce requise, sélectionnez l'une des options suivantes :
    • Aucune : il n'y a pas de date limite pour l'enrôlement des utilisateurs.
    • Avant une date d'échéance : les utilisateurs doivent s'inscrire aux authentificateurs requis avant une date d'échéance.
    • Après un nombre défini de fois où l'invite est ignorée : les utilisateurs sont invités à s'inscrire et peuvent ignorer l'enrôlement un nombre précis de fois.
  9. Si l'ensemble comprend l'authentificateur Clés d'accès (FIDO2 WebAuthn) et que des clés d'accès ne sont pas requises, vous pouvez configurer une invite de promotion qui incite les utilisateurs à s'inscrire à des clés d'accès. Dans la section Invite de promotion facultative, sélectionnez Inviter les utilisateurs à s'inscrire à des clés d'accès et configurez les options suivantes :
    • Chaque connexion : affiche l'invite à chaque fois que l'utilisateur se connecte.
    • Après une durée définie : affichez l'invite à un intervalle temporel régulier. Saisissez un nombre et sélectionnez une unité de temps (jours, semaines ou mois) pour définir la fréquence d'affichage de l'invite.
    • Ne plus afficher si l'invite est ignorée un nombre défini de fois : limitez le nombre de fois qu'un utilisateur peut ignorer l'invite avant qu'Okta ne cesse de l'afficher.
  10. Vérifiez les authentificateurs dans la section Non proposé. Ces authentificateurs ne sont inclus dans aucun ensemble. Cette politique ne les inscrira donc pas. Les utilisateurs avec des enrôlements existants peuvent toujours se connecter avec ces authentificateurs, et les flux de récupération hérités peuvent encore les exiger.
  11. Cliquez sur Enregistrer.