Applications RADIUS dans Okta

La taille du message de challenge peut être trop importante pour l'invite RADIUS si vous laissez les utilisateurs inscrire trop d'authentificateurs. Okta vous recommande de ne pas inscrire plus de huit authentificateurs à la fois.

Okta prend en charge les authentificateurs suivants pour les applications RADIUS :

Authentificateur MFA	Protocole d'authentification par mot de passe (PAP)	Protocole d'authentification extensible - Carte à jeton générique (EAP-GTC)	Protocole d'authentification extensible - Sécurité de la couche transport tunnelisée (EAP-TTLS)*
Duo (Push, SMS et code d'accès uniquement)	Pris(e) en charge	Pris(e) en charge	Code d'accès Duo seulement.
E-mail	Pris(e) en charge	Pris(e) en charge	Pris en charge lorsque la chaîne « E-MAIL » est initialement envoyée. Reportez-vous à la note associée.
RADIUS ne prend pas en charge l'inscription en ligne avec E-mail. Lors d'une inscription en ligne, désactivez e-mail ou indiquez Réinitialiser le mot de passe dans les paramètres d'e-mail.
Google Authenticator	Pris(e) en charge	Pris(e) en charge	Pris en charge (dès lors que le challenge est évité). Par exemple, MFA uniquement ou « Mot de passe, code d'accès ».
Okta Verify (TOTP [Mot de passe à usage unique et à durée limitée] et PUSH)	Pris(e) en charge (pour un appareil uniquement)	Pris(e) en charge (pour un appareil uniquement)	Pris en charge (dès lors que le challenge est évité). (pour un appareil uniquement) Par exemple, MFA uniquement ou « Mot de passe, code d'accès » pour TOTP. Les notifications push peuvent fonctionner avec la MFA principale puisque que la vérification push est envoyée hors bande.
Okta Verify (vérification par nombre)	Non pris(e) en charge	Non pris(e) en charge	Non pris(e) en charge
Question de sécurité	Pris(e) en charge (mot de passe et MFA uniquement)	Pris(e) en charge (mot de passe + MFA uniquement).	Non pris(e) en charge
Téléphone (SMS et appel vocal)	Pris(e) en charge	Pris(e) en charge	Pris en charge lorsque la chaîne « CALL » est envoyée. Reportez-vous à la note associée.
Mot de passe à usage unique de la clé YubiKey	Pris(e) en charge	Pris(e) en charge	Pris(e) en charge (dès lors que le défi est évité). Par exemple, MFA uniquement ou « Mot de passe, code d'accès ».

* RADIUS prend en charge trois méthodes d'authentification :

• Mot de passe + MFA : l'authentification principale se fait à l'aide d'un mot de passe, puis l'utilisateur est invité à choisir des facteurs pour terminer l'authentification.
• MFA uniquement : plutôt qu'un mot de passe, l'utilisateur saisit un code d'accès à usage unique (un OTP) ou bien « E- MAIL», « SMS », « APPEL» ou « PUSH » (maj/min acceptées).
• Mot de passe, code d'accès : le mot de passe est saisi immédiatement, suivi par un code d'accès dans une requête.
  Il doit s'agir de la même requête, par exemple : Abcd1234,879890 ou Abcd1234,SmS.

Le protocole prend en charge les méthodes d'authentification suivantes :

Protocole	Prend en charge
PAP	Mot de passe et authentification multifacteur, authentification multifacteur, « Mot de passe et code d'accès ».
EAP-TTLS	Authentification multifacteur uniquement, « Mot de passe et code d'accès ».
EAP-GTC	Mot de passe et authentification multifacteur, authentification multifacteur uniquement, « Mot de passe et code d'accès ».

Fonctionnalités

• Assistance pour plusieurs applications et infrastructures compatibles avec RADIUS

  Chaque composant d'application et d'infrastructure (par exemple, les VPN) peut être configuré de manière unique en utilisant le même agent RADIUS Okta. L'agent peut écouter plusieurs ports distincts pour des configurations RADIUS séparées. Par exemple, alors que Cisco AnyConnect utilise le port UDP 1812 de RADIUS, une autre application locale peut utiliser le port UDP 1813 de RADIUS.

• Configurations propres aux groupes et aux utilisateurs

  Les administrateurs peuvent limiter l'accès aux applications et à l'infrastructure RADIUS à certains utilisateurs et groupes.

• Transférer la propriété de groupe aux applications RADIUS

  Okta transmet une liste des groupes d'un utilisateur vers une infrastructure ou application RADIUS. Cela permet aux administrateurs de prendre en charge des autorisations plus affinées, avec différents niveaux d'accès et de sécurité basés sur l'appartenance à un groupe.

• Fournir une authentification multifacteur et une sécurité basées sur les adresses IP

  En résolvant l'adresse IP d'un client qui tente de se connecter à une application ou infrastructure compatible avec RADIUS, les administrateurs ont la possibilité de configurer leur accès en fonction de la plage IP ou de la zone réseau de l'utilisateur. Consultez Réseau.

• Configuration centralisée basée sur le cloud

  Les administrateurs sont en mesure de gérer la totalité des configurations de leurs infrastructures et applications compatibles avec RADIUS à partir de l'Okta Admin Console. Ils n'ont pas besoin d'effectuer les modifications directement sur le serveur de l'agent RADIUS Okta.

• 2FA uniquement (mode sans mot de passe)

  Vous pouvez configurer une application compatible avec RADIUS de manière à ce qu'elle utilise uniquement le second facteur d'une authentification multifacteur. On appelle ce procédé le « mode sans mot de passe ».

  Lorsque vous configurez l'application pour activer le mode 2FA, décochez la case Okta réalise l'authentification principale, assurez-vous d'utiliser un port UDP unique et vérifiez le format pour Format du nom d'utilisateur de l'application.

Limitations

1. Le port RADIUS et la clé secrète partagée sont capturés à partir de la Okta Admin Console par l'intermédiaire de tout VPN ou de toute application RADIUS configurée. Toutes les informations saisies à partir des invites de l'agent RADIUS sont disponibles si une organisation active la fonctionnalité après la saisie des informations.
2. L'infrastructure Wi-Fi n'est pas prise en charge.
3. L'agent RADIUS prend uniquement en charge l'authentification PAP. Aucun autre protocole n'est pris en charge.