Zum Einrichten der FIDO2-Authentifizierung im Workspace ONE Access-Dienst aktivieren Sie die FIDO2-Authentifizierung, konfigurieren die FIDO2-Einstellungen und aktivieren FIDO2 im integrierten Identitätsanbieter. Anschließend konfigurieren Sie Zugriffsrichtlinienregeln für die Authentifizierung mit FIDO2.
Die FIDO2-Authentifizierung ist für den Zugriff auf Web-Apps über die Workspace ONE Intelligent Hub-App und das Hub-Webportal verfügbar.
Voraussetzungen
Systemanforderungen
| Browser | Betriebssystem | Authentifizierertyp |
|---|---|---|
| Google Chrome 85 oder höher | MacOS 10.15.7 | TouchID Extern (Yubikey) |
| Windows 10 | Windows Hello Extern (Yubikey) |
|
| Safari 14.02 oder höher
Hinweis: Derzeit können Benutzer ihren FIDO2-Authentifizierer aufgrund einer kürzlich von Apple vorgenommenen Änderung nicht über den Safari-Webbrowser registrieren. Benutzer können einen anderen unterstützten Browser verwenden, um ihren FIDO2-Authentifizierer zum ersten Mal zu registrieren. Nach der Registrierung des Authentifizierers können sich Benutzer mit dem Authentifizierer von Safari aus anmelden.
|
MacOS 10.15.7 | Extern (Yubikey) |
| Microsoft Edge Chromium 85 oder höher | Windows 10 | Windows Hello Extern (Yubikey) |
| Firefox 81 oder höher | Windows 10 | Extern (Yubikey) |
Prozedur
- Wählen Sie in der Workspace ONE Access-Konsole auf der Seite die Option FIDO2 aus.
- Klicken Sie auf KONFIGURIEREN und konfigurieren Sie die FIDO2-Einstellungen.
Option Bezeichnung FIDO-Adapter aktivieren Aktivieren Sie die FIDO2 Authentifizierungsmethode im integrierten Identitätsanbieter des Diensts. Registrierung während der Anmeldung aktivieren Standardmäßig aktiviert. Wenn ein Benutzer zum ersten Mal versucht, sich anzumelden, wenn die FIDO2-Authentifizierung aktiviert ist, werden die Benutzer aufgefordert, ihren FIDO2-Authentifizierer zu registrieren. Wenn Sie den Sicherheitsschlüssel direkt in der Workspace ONE Access-Konsole auf der Seite einrichten möchten, können Sie diese Einstellung deaktivieren.
Maximale Authentifizierungsversuche Gibt an, wie oft ein Benutzer versuchen kann, sich zu authentifizieren, bevor er eine „Zugriff verweigert“-Meldung erhält. Einstellung für die Übermittlung von Nachweisen Die vom Authentifizierer zurückgegebenen Nachweisdaten enthalten Informationen, die zur Verfolgung von Benutzern verwendet werden können. Mit dieser Option kann der Workspace ONE Access-Server angeben, wie wichtig die Nachweisdaten für das FIDO2-Registrierungsereignis sind.
- Ohne. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung nicht an einem Authentifizierernachweis interessiert ist. Der empfohlene Wert für die Einstellung ist Keine.
- Indirekt. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung eine Übermittlung von Nachweisen bevorzugt, die überprüfbare Nachweisanweisungen liefert, aber dem Client ermöglicht, zu entscheiden, wie solche Nachweisanweisungen abgerufen werden.
- Direkt. Der Standardwert. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung die vom Authentifizierer generierte Anweisung erhalten möchte.
Hinweis: Wenn die Einstellung für die Übermittlung von Nachweisen „Direkt“ oder „Indirekt“ lautet, funktioniert der TouchID-Authentifizierer nicht.
Einstellung zur Benutzerüberprüfung Konfigurieren Sie, wie die Benutzerüberprüfung behandelt werden soll. Erforderlich ist der Standardwert. Diese Option bietet die höchste Sicherheit.
- Nicht empfohlen. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung nicht möchte, dass die Benutzerüberprüfung während der Authentifizierung verwendet wird.
- Bevorzugt. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung, falls möglich, die Benutzerüberprüfung bevorzugt, der Vorgang jedoch nicht fehlschlägt, wenn für die Antwort das UV-Flag nicht festgelegt ist.
- Erforderlich. Der Standardwert. Dieser Wert gibt an, dass die zugrunde liegende Drittanbieteranwendung eine Benutzerüberprüfung für den Vorgang erfordert und der Vorgang fehlschlägt, wenn für die Antwort das UV-Flag nicht festgelegt ist.
Einstellung für den Authentifizierertyp Wählen Sie Plattformübergreifend aus, wenn Administratoren Benutzer registrieren. Wählen Sie eine Plattform aus, wenn Benutzer Geräte registrieren. Wählen Sie Alle aus, um beide Optionen zu verwenden.
- Plattform. Authentifizierer, die an ein Gerät angeschlossen sind. Beispiel: ein Laptop, auf dem Windows Hello ausgeführt wird.
- Plattformübergreifend. Authentifizierer, die austauschbar und plattformübergreifend sind. Beispiel: ein YubiKey. Diese Authentifizierer können auf mehreren Geräten verwendet werden.
- Alle
Zeitüberschreitung bei der Authentifizierung in Sekunden Geben Sie die Zeit in Sekunden ein, um auf eine Antwort zu warten, bevor die Anforderung abläuft. Die empfohlene Zeit beträgt 180 Sekunden (3 Minuten). Aktionstyp (optional) Sie können Einschränkungen für Benutzer konfigurieren, um bestimmte FIDO2-Sicherheitsschlüssel basierend auf ihrer AAGUID zuzulassen oder bestimmte FIDO-Sicherheitsschlüssel basierend auf ihrer AAGUID zu zu blockieren.
Wenn Sie einen Aktionstyp ausgewählt haben, konfigurieren Sie die zu verwaltende Liste der Authentifizierer-AAGUIDs.
Der empfohlene Wert für die Einstellung ist Blockieren.
Authentifizierer-Liste der AAGUIDs Führen Sie den FIDO2-Sicherheitsschlüssel AAGUID für alle Typen von Authentifikatoren auf, die Sie zulassen oder blockieren möchten.
Jeder Authentifizierer sollte während der Registrierung eine AAGUID (Authenticator Attestation GUID, Authentifizierungs-Nachweis-GUID) bereitstellen. Eine AAGUID ist ein 128-Bit-Bezeichner, der den Typ angibt, z. B. „make“ und „model“ des Authentifizierers.
Die AAGUID wird als Zeichenfolge dargestellt (z. B.
7a98c250-6808-11cf-b73b-00aa00b677a7), die aus 5 hexadezimalen Zeichenfolgen besteht, die durch einen Bindestrich (-) getrennt sind. - Klicken Sie auf SPEICHERN.
- Klicken Sie auf KONFIGURIEREN und konfigurieren Sie die FIDO2-Einstellungen.
- Navigieren Sie zur Seite und wählen Sie den integrierten Identitätsanbieter aus, den Sie bereits konfiguriert haben.
- Wählen Sie im Abschnitt Authentifizierungsmethoden die Option FIDO2 aus.
- Klicken Sie auf Speichern.
Nächste Maßnahme
Erstellen Sie unter „Richtlinien“ eine FIDO2-Registrierungsrichtlinienregel und eine FIDO2-Authentifizierungsrichtlinienregel. Siehe Erstellen von FIDO2-Authentifizierungsrichtlinien in Workspace ONE Access (nur Cloud).
