NFC Authenticatorのエンドユーザーエクスペリエンス

近距離無線通信（NFC）Authenticatorを使用して、NFC対応バッジを登録し、管理対象デバイスのアプリにサインインする際のエンドユーザーエクスペリエンスについて説明します。

早期アクセスリリース。セルフサービス機能を有効にするを参照してください。

NFCの仕組み

エンドユーザーがバッジをタップすると、次のアクションが実行されます。

Okta Verifyが、管理対象デバイスで動作し、NFCバッジの一意のIDを読み取ります。
Okta Verifyが、バッジの登録ステータスをチェックします。
バッジが登録されている場合は、Sign-In Widget がエンドユーザーにPINの入力を求めます。
バッジが登録されていない場合は、Okta Verifyがエンドユーザーにブラウザーに戻り、既存の資格情報でOktaアカウントにサインインしてNFCをセットアップするよう求めます。

登録フローでは、デバイスは管理対象の信頼できるワークステーションとして識別されます。エンドユーザーはPINのみを入力する必要があり、ユーザー名を入力する必要はありません。

登録エクスペリエンス

登録フローは次のステップで構成されます。

ユーザーは、既存の方法（パスワードやセキュリティ質問など）を使用して自分のアイデンティティを検証します。
サインイン後、ユーザーは、Authenticator登録ポリシーに構成されているとおりに、NFC Authenticatorを登録するよう求められます。
ユーザーは、Okta Account Managementポリシーに構成されているとおりに、本人確認を完了するか、別の認証方法を提供します。
ユーザーは、Okta Verifyを開き、その後NFCバッジをリーダーにタップするよう求められます。
Okta Verifyは、NFCの一意のIDを読み取り、登録します。
ユーザーは、ブラウザーのSign-In Widget に戻ってPINを設定するよう求められます。
ユーザーは、NFC Authenticatorでユーザーエクスペリエンス設定を構成したときに定義した長さのPINを作成します。
ユーザーはPINをもう一度入力して確認します。登録が完了し、ユーザーがサインインした状態になります。

登録後、ユーザーはバッジをタップしてPINを入力することで、NFC認証を必要とする自分のロールに対応するアプリにサインインできます。

注:

各NFCバッジは、単一のOkta orgの単一のユーザーに関連付けられます。ユーザーは、一度に一つのアクティブなNFCバッジしか登録できません。複製不可能なカードは一度しか使用できません。ユーザーがカードの登録を解除すると、そのカードは再度使用できなくなります。

サインインエクスペリエンス

サインインフローは次のステップで構成されます。

Sign-In Widget で、NFCでサインイン（Sign in with NFC）を有効にした場合、ユーザーはボタンをクリックします。
Okta Verifyのプロンプトが表示されたら、ユーザーはリーダーにNFCバッジをタップします。
Okta VerifyはNFCバッジを読み取り、スキャンが成功するとOkta Verifyは閉じます。
ユーザーはブラウザーに戻り、PINを入力します。
PINの入力が成功すると、ユーザーがサインインされます。

アカウント復旧

ユーザーが誤ったPINを5回入力した場合、または認証フローがタイムアウトした場合、ユーザーのアカウントは一時的にロックされます。アクセスを回復するには、5分間のロックアウト期間が終了するまで待って再試行するか、またはPINをリセットできます。

Okta Account Managementポリシーは、PINの復旧保証要件を制御します。デフォルトでは、このポリシーはすべてのAuthenticatorタイプの復旧を管理します。すべての復旧アクションに同じルールを適用する代わりに、NFC AuthenticatorのPIN復旧に固有の要件を定義するには、accessRequest.operation == 'recover' && accessRequest.authenticator.key =='nfc_pin'のようなカスタム式を使用してルールを作成できます。

ルールの追加手順については、「パスワードの復旧とアカウントのロック解除のルールを追加する」を参照してください。

従業員のステータスが変更した場合や、バッジが紛失や破損したり、盗難にあった場合は、ユーザーのバッジを非アクティブにする必要があります。この場合、ユーザーのプロファイルからNFC Authenticatorをリセットし、新しいNFCバッジをプロビジョニングします。その後、ユーザーは新しいバッジを使用してサインインフローを進め、再登録します。