Authentificateur TOTP personnalisé

    Grâce à cette méthode, les administrateurs peuvent configurer n'importe quel authentificateur TOTP pour la vérification d'identité. ADSelfService Plus prend en charge deux types de jetons TOTP pour l'authentification :

    • Jeton TOTP logiciel : Applications mobiles ou de bureau qui génèrent un OTP basé sur le temps à partir de la clé secrète fournie par ADSelfService Plus lors de l'inscription. Ces jetons peuvent être inscrits soit par l'utilisateur via l'auto-inscription, soit par l'administrateur via une inscription en masse.
    • Jeton TOTP matériel : Dispositifs matériels qui génèrent un OTP basé sur le temps à partir de la clé secrète gravée dans le dispositif matériel. Un fichier de seed contenant les clés secrètes pour les dispositifs matériels respectifs sera fourni par les fournisseurs de matériel. Ces jetons ne peuvent être inscrits que par l'administrateur via une inscription en masse.

    Comment ça fonctionne

    Lorsqu'un utilisateur atteint l'étape d'authentification TOTP personnalisée, il ouvre son application TOTP configurée (ou vérifie son dispositif matériel) et saisit l'OTP actuel. ADSelfService Plus valide le code par rapport à la clé secrète associée au jeton inscrit de l'utilisateur. Si le code correspond et n'a pas expiré, l'authentification réussit.

    Chaque configuration TOTP personnalisée est indépendante — si un utilisateur passe d'une politique d'auto-service à une autre et que les deux politiques ne partagent pas la même configuration d'authentificateur TOTP personnalisé, l'utilisateur sera considéré comme non inscrit pour la nouvelle politique.

    Prérequis

    • Vous devez disposer d'un accès administrateur au portail ADSelfService Plus.
    • Au moins une politique d'auto-service doit être configurée avant d'activer cet authentificateur.
    • Pour les jetons matériels : obtenez le fichier de seed auprès de votre fournisseur de jetons matériels avant de commencer l'inscription.

    Étapes de configuration

    1. Naviguez vers votre annuaire (AD ou Entra ID) > Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    2. Dans la liste déroulante Choisir la politique, sélectionnez une politique.
    3. Cliquez sur Custom TOTP Authenticator.
    4. Saisissez le Nom de l'Authentificateur, la Longueur du code, le Temps d'expiration du code, l'Algorithme de hachage du code, le Format du nom de compte et téléchargez le Logo de l'Authentificateur.
    5. Choose either Jeton logiciel or Jeton matériel based on the type of token you wish to configure.
      Note : Si le Logo de l'Authentificateur n'est pas téléchargé, un logo par défaut sera utilisé.
    6. Cliquez sur Enregistrer.
    Note : La dérive d'horloge autorisée pour la validation TOTP s'applique à tous les authentificateurs basés sur TOTP, y compris Google Authenticator, Microsoft Authenticator et tous les autres authentificateurs TOTP. Elle est par défaut fixée à une variance de 4 (environ ±2 minutes). Pour personnaliser cela, utilisez le paramètre système TOTP_AUTH_VARIANCE (minimum : 1, maximum : 4).

    Étape pour s'inscrire aux authentificateurs TOTP personnalisés

    • Les jetons logiciels peuvent être inscrits soit par l'utilisateur via l'auto-inscription, soit par les administrateurs via une inscription en masse (importation de données via un fichier CSV ou récupération de données depuis une base de données externe).
    • You can enroll for hardware tokens using two methods:
      Note : En cas d'utilisation de jetons programmables permettant à l'utilisateur de générer une clé secrète sans intervention de l'administrateur, il est recommandé de configurer l'authentificateur TOTP personnalisé comme un jeton logiciel.

      Configuration de l'authentificateur TOTP personnalisé dans ADSelfService Plus

    Pour modifier la configuration :

    1. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    2. Cliquez sur la section Custom TOTP Authenticator.
    3. Cliquez sur Modifier et changez les informations fournies si nécessaire.
    4. Si la configuration doit être supprimée, cliquez sur Remove Configuration.
    5. Click Enregistrer.

      Modification de la configuration de l'authentificateur TOTP personnalisé dans ADSelfService Plus

    Remarque :
    • Lorsque la configuration est modifiée ou supprimée, les données d'inscription des utilisateurs pour cette configuration seront également supprimées.
    • Lorsqu'un utilisateur est transféré d'une politique d'auto-service à une autre et si ces deux politiques n'ont pas la même configuration d'authentificateur TOTP personnalisé, l'utilisateur sera considéré comme non inscrit.

    Conseils

    • Donnez à chaque authentificateur TOTP personnalisé un Nom d'Authentificateur descriptif qui identifie l'application spécifique ou le dispositif matériel — par exemple, Google Authenticator ou SafeNet Token. Ce nom est visible par les utilisateurs lors de l'inscription et de l'authentification, un nom clair réduit donc la confusion lorsque plusieurs authentificateurs TOTP sont configurés dans différentes politiques.
    • Avant de modifier une configuration d'authentificateur TOTP personnalisé existante, informez les utilisateurs concernés que leurs données d'inscription seront supprimées et qu'ils devront se réinscrire. Un échec d'authentification inattendu lors d'une réinitialisation de mot de passe ou d'une connexion machine peut être perturbant si les utilisateurs ne sont pas préparés.
    • Lors du déploiement de jetons matériels, vérifiez que le format du fichier de seed est compatible avec la méthode d'inscription en masse CSV avant de distribuer les jetons aux utilisateurs. Les incompatibilités entre le format du fichier de seed et le format d'importation attendu sont la cause la plus fréquente d'échecs d'inscription des jetons matériels.