Argomento
Questo articolo spiega come abilitare il bypass condizionale per l'autenticazione a più fattori (MFA) di NinjaOne.
Ambiente
Piattaforma NinjaOne
Descrizione
Abilitare il bypass condizionale dell'autenticazione MFA di NinjaOne per garantire che venga eseguito una sola volta durante un accesso SSO, presso il provider di identità o presso NinjaOne, ma non in entrambi i casi. Ciò garantisce comunque un elevato livello di sicurezza con l'ulteriore vantaggio in termini di usabilità di richiedere una sola autenticazione MFA.
Indice
Seleziona una categoria per saperne di più:
- In cosa consiste il flusso di lavoro MFA?
- In che modo NinjaOne utilizza l’autenticazione a più fattori (MFA)?
- Quali provider di identità supporta NinjaOne?
- Per quali attributi effettua la ricerca NinjaOne?
- Perché l'opzione "Abilita bypass condizionale dell'autenticazione a più fattori (MFA) di NinjaOne" risulta nascosta dopo il test del provider di identità?
- Perché gli utenti continuano a ricevere la richiesta di MFA di NinjaOne durante l'accesso anche se ho attivato questa funzione?
- Ciò influisce sull’autenticazione a più fattori (MFA) di NinjaOne per le operazioni sensibili dal punto di vista della sicurezza in NinjaOne dopo l’accesso?
- Perché ricevo ancora una richiesta di MFA durante l’accesso, anche se ho attivato il bypass?
Domande frequenti
In cosa consiste il flusso di lavoro MFA?
La figura seguente mostra l’MFA utilizzato esclusivamente come Identity Provider (IdP):
La figura seguente mostra come NinjaOne utilizza l'autenticazione a più fattori (MFA):
In che modo NinjaOne utilizza l’autenticazione a più fattori (MFA)?
Alcuni IdP, tra cui Okta e Azure, aggiungono un attributo SAML alla risposta di accesso dell’utente che indica se l’autenticazione a più fattori (MFA) è stata eseguita durante la sessione di accesso. Una volta ricevuta la risposta SAML, verifichiamo la presenza di questo attributo per determinare se saltare l’autenticazione a più fattori (MFA) di NinjaOne in base a questa condizione.
La risposta SAML è un documento firmato crittograficamente che stabilisce un rapporto di fiducia tra NinjaOne e l’IdP. Non può essere modificata tra l’IdP e NinjaOne senza che ciò venga rilevato. Se non individuiamo questo specifico attributo MFA nella risposta SAML, non salteremo l’autenticazione a più fattori (MFA) di NinjaOne per l’accesso dell’utente.
Quali provider di identità supporta NinjaOne?
Attualmente, gli unici IdP supportati per questa funzionalità sono Azure e Okta. Supporteremo altri IdP una volta accertato che consentano un attributo MFA basato sulla sessione come descritto sopra.
Quali attributi cerca NinjaOne?
NinjaOne cercherà i seguenti attributi nella risposta SAML per Okta e Azure. Se trovati, NinjaOne bypasserà l’autenticazione a più fattori (MFA) per quella richiesta. In caso contrario, NinjaOne eseguirà l’autenticazione a più fattori (MFA) per la richiesta di accesso.
Attributi Okta:
<saml2:Attribute Name="amr" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
<saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">swk</saml2:AttributeValue>
<saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">mfa</saml2:AttributeValue>
<saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">pwd</saml2:AttributeValue>
</saml2:Attribute>Attributi di Azure:
<Attribute Name="http://schemas.microsoft.com/claims/authnmethodsreferences">
<AttributeValue>http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password</AttributeValue>
<AttributeValue>http://schemas.microsoft.com/claims/multipleauthn</AttributeValue>
</Attribute>Perché l’opzione " Abilita bypass condizionale NinjaOne MFA " risulta nascosta dopo il test dell’IdP?
Poiché questa versione supporta solo Azure e Okta, al momento cerchiamo un URL dell’IdP che contenga .okta.com (Okta) o .microsoftonline.com (Azure). Se il proprio provider di identità dispone di un URL personalizzato, al momento non è supportato, ma è probabile che la situazione cambi in futuro. Per ora, per tutti gli altri IdP questa opzione rimarrà nascosta una volta completata la connessione di test dell’IdP.
Perché gli utenti continuano a ricevere la richiesta di autenticazione a più fattori (MFA) di NinjaOne durante l’accesso, anche se ho attivato questa funzione?
Ciò può verificarsi per diversi motivi:
- La funzionalità non è attivata nella configurazione dell’IdP di NinjaOne.
- È possibile che l’attributo impostato nella risposta SAML dall’IdP non sia presente o non corrisponda al nome dell’attributo che stiamo cercando. Assicurati che l’attributo sia presente nella risposta SAML ricevuta da NinjaOne.
- L’utente potrebbe non aver eseguito l’autenticazione a più fattori (MFA) presso l’IdP. Assicurarsi che la politica dell’IdP imponga l’autenticazione a più fattori (MFA) per l’applicazione NinjaOne.
- Se l’IdP è configurato con un servizio di terze parti per l’autenticazione a più fattori (ad esempio utilizzando Duo con Azure IdP), è possibile che l’IdP non stia aggiungendo l’attributo di autenticazione a più fattori che stiamo cercando.
L’utente potrebbe avere configurato un solo metodo di autenticazione per il proprio account (ad esempio, password dell’account, app di autenticazione, Okta Verify o altri). Pertanto, l’account non soddisfa il requisito di autenticazione a più fattori (MFA) in NinjaOne e verrà visualizzata la richiesta. Aggiungere un’opzione di autenticazione secondaria e riprovare.
Questa funzionalità influisce sull’autenticazione a più fattori (MFA) di NinjaOne per le operazioni sensibili dal punto di vista della sicurezza in NinjaOne dopo l’accesso?
No, questa funzionalità non influisce sui requisiti di MFA successivi all’accesso. Anche se l’autenticazione a più fattori (MFA) di NinjaOne viene bypassata durante l’accesso, tutti i tecnici e gli utenti finali di NinjaOne devono comunque avere configurata l’autenticazione a più fattori (MFA) e saranno comunque tenuti a eseguire l’autenticazione a più fattori (MFA) per le operazioni sensibili dal punto di vista della sicurezza dopo aver effettuato l’accesso.
Perché ricevo ancora una richiesta di autenticazione a più fattori (MFA) durante l’accesso, anche se ho attivato l’opzione “Bypass”?
È possibile che per il proprio account sia configurato un solo metodo di autenticazione (ad esempio, una password dell’account, un’app di autenticazione, Okta Verify o simili). Pertanto, l’account non soddisfa il requisito MFA e verrà visualizzata la richiesta di NinjaOne MFA. Aggiungere un’opzione di autenticazione secondaria e riprovare.