Configurer vos méthodes MFA

Les méthodes MFA sont les moyens par lesquels les utilisateurs confirment leur identité à la connexion :

• Notifications Push

• Applications d’authentification (TOTP)

• Clés USB (HOTP)

• Clés de sécurité FIDO2

Vous les activez dans ⚙️ Paramètres serveur ▸ MFA, sous Méthodes d’authentification.

Chaque carte indique le nombre d’utilisateurs enrôlés avec la méthode. Cliquez sur ce nombre pour les afficher. L’interrupteur active ou désactive la méthode.

Avant d’activer des méthodes, tenez compte des points suivants :

• Les méthodes MFA sont activées pour l’ensemble du serveur UserLock. Les stratégies d’accès MFA déterminent quand les utilisateurs s’authentifient, pas la méthode qu’ils utilisent.

• Les utilisateurs choisissent parmi les méthodes activées lors de leur enrôlement.

• Au moins une méthode doit rester activée.

• Désactiver une méthode ne supprime pas les enrôlements existants. Les utilisateurs déjà enrôlés peuvent toujours se connecter avec cette méthode, mais les nouveaux utilisateurs ne peuvent plus la choisir.

• Pour faire passer un utilisateur à une autre méthode, réinitialisez sa configuration MFA. L’utilisateur s’enrôle de nouveau à sa prochaine connexion.

• Un utilisateur ne peut pas associer des clés de sécurité FIDO2 aux notifications Push ni aux clés USB (HOTP).

1. Dans ⚙️ Paramètres serveur ▸ MFA, activez Notifications Push. UserLock se connecte au serveur de notifications Push d’IS Decisions.

2. Attendez le message La connexion est établie !, puis fermez la boîte de dialogue.

3. Sélectionnez Sauvegarder.

Si l’activation échoue, la boîte de dialogue affiche un code d’erreur. Vérifiez que le serveur principal a accès à Internet, et contactez le support IS Decisions si l’erreur persiste.

Les utilisateurs peuvent s’enrôler avec n’importe quelle application d’authentification TOTP, comme Google Authenticator ou Microsoft Authenticator, ou avec un jeton programmable Token2.

1. Dans ⚙️ Paramètres serveur ▸ MFA, activez Application d’authentification (TOTP).

2. Sélectionnez Sauvegarder.

Les utilisateurs peuvent enrôler une YubiKey ou une clé HOTP Token2. Ils doivent l’enrôler depuis une session ouverte directement sur l’ordinateur, et non via le Bureau à distance.

1. Dans ⚙️ Paramètres serveur ▸ MFA, activez Clés USB (HOTP).

2. Sélectionnez Sauvegarder.

Chaque clé est liée à un Relying Party ID (RP ID) : un nom de domaine que vous choisissez lors de l’activation de FIDO2. Choisissez-le en fonction de l’endroit où les utilisateurs se connectent avec leur clé :

• Sessions Windows uniquement : conservez le domaine proposé par UserLock, ou saisissez un autre domaine de votre choix.

• Applications IIS ou SSO : utilisez le domaine de l’URL publique de l’application MFA IIS, ou l’un de ses domaines parents. Pour https://auth.example.com/ulmfa, utilisez example.com.

Le RP ID doit être un nom de domaine contenant au moins un point. Il ne peut pas s’agir d’une adresse IP.

1. Allez dans ⚙️ Paramètres serveur ▸ MFA.

2. Si les utilisateurs se connectent à des applications IIS ou au SSO, sous MFA pour sites Web sur serveurs IIS, définissez l’URL publique.

3. Activez Clés de sécurité FIDO2. La boîte de dialogue Configurer FIDO2 s’ouvre.

4. Dans Relying Party ID FIDO2, vérifiez le domaine proposé et modifiez-le si nécessaire.

5. Sélectionnez Continuer, puis Sauvegarder.

Pour d’autres questions, comme l’exigence du code PIN, la prise en charge du Bureau à distance, la connexion hors ligne ou les clés perdues, voir FAQ > Clés de sécurité FIDO2.

Une méthode de secours permet aux utilisateurs de se connecter lorsque leur méthode principale n’est pas disponible, par exemple lorsqu’ils ont oublié leur téléphone.

Dans ⚙️ Paramètres serveur ▸ MFA, sous Enrôlement et récupération, le paramètre Méthode MFA alternative propose trois options :

• Activé : les utilisateurs peuvent enregistrer une méthode de secours s’ils le souhaitent.

• Désactivé : les utilisateurs ne peuvent pas enregistrer de méthode de secours.

• Forcer : les utilisateurs doivent enregistrer une méthode de secours pour terminer leur enrôlement.

Activé et Forcer sont disponibles lorsqu’au moins deux méthodes sont activées, ou lorsque seule la méthode Clés de sécurité FIDO2 est activée, car les utilisateurs peuvent alors enregistrer une seconde clé.

Les codes de récupération sont des codes à usage unique que les utilisateurs saisissent lorsque leur méthode MFA n’est pas disponible. UserLock les génère lors de l’enrôlement et ne les affiche qu’une seule fois.

1. Dans ⚙️ Paramètres serveur ▸ MFA, sous Enrôlement et récupération, activez Codes de récupération.

2. Dans Codes par utilisateur, saisissez un nombre compris entre 4 et 20.

3. Sélectionnez Sauvegarder.

Cliquez sur Voir un exemple pour afficher les codes tels que les utilisateurs les voient. Les codes ne peuvent pas être affichés de nouveau : si un utilisateur les perd, réinitialisez sa configuration MFA.