Zoho OneAuth TOTP

    Zoho OneAuth TOTP permet aux utilisateurs de prouver leur identité en saisissant un code à usage unique basé sur le temps (TOTP) généré par l’application Zoho OneAuth. Lorsque cet authentificateur est activé, les utilisateurs ouvrent l’application Zoho OneAuth sur leur appareil enregistré, récupèrent le TOTP actuel pour ADSelfService Plus, puis le saisissent pour compléter l’authentification.

    Comment ça fonctionne

    Lorsqu’un utilisateur atteint l’étape Zoho OneAuth TOTP, ADSelfService Plus lui demande de saisir le TOTP affiché dans son application Zoho OneAuth. Le code est sensible au temps et se rafraîchit à intervalles réguliers. ADSelfService Plus valide le code saisi et, s’il est correct, authentifie l’utilisateur. Les utilisateurs doivent s’enregistrer en liant leur application Zoho OneAuth à leur compte ADSelfService Plus avant de pouvoir utiliser cet authentificateur.

    Prérequis

    • Vous devez disposer d'un accès administrateur au portail ADSelfService Plus.
    • Au moins une politique d'auto-service doit être configurée avant d'activer cet authentificateur.
    • Les utilisateurs doivent avoir l’application Zoho OneAuth installée sur leur appareil et doivent compléter l’enregistrement avant de pouvoir s’authentifier avec cette méthode.

    Instructions de configuration

    Le chemin de navigation vers la page d'authentification multi-facteurs diffère légèrement entre les déploiements AD et Entra ID.

    • Active Directory : Allez à Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    • Entra ID : Sélectionnez Microsoft Entra ID dans la liste déroulante du répertoire en haut à gauche, puis allez dans Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.

    Ensuite :

    1. Dans le menu déroulant Choisir la politique, sélectionnez la politique que vous souhaitez configurer.
    2. Cliquez sur la section Zoho OneAuth TOTP pour l’agrandir.
    3. Sélectionnez un Modèle de nom d’utilisateur — cela détermine comment ADSelfService Plus associe l’utilisateur authentifié à son compte Zoho OneAuth.
    4. Cliquez sur Enregistrer.
    Note : La dérive d'horloge autorisée pour la validation TOTP s'applique à tous les authentificateurs basés sur TOTP, y compris Google Authenticator, Microsoft Authenticator et tous les autres authentificateurs TOTP. Elle est par défaut fixée à une variance de 4 (environ ±2 minutes). Pour personnaliser cela, utilisez le paramètre système TOTP_AUTH_VARIANCE (minimum : 1, maximum : 4).

    Section Zoho OneAuth TOTP agrandie dans la configuration des authentificateurs d’authentification multi-facteurs.

    Conseils

    • Dans le menu déroulant Choisir la politique, sélectionnez la politique que vous souhaitez configurer.
    • Cliquez sur la section Zoho OneAuth TOTP pour l’agrandir.
    • Sélectionnez un Modèle de nom d’utilisateur — cela détermine comment ADSelfService Plus associe l’utilisateur authentifié à son compte Zoho OneAuth.
    • Cliquez sur Enregistrer.
    Authentification Zoho OneAuth TOTP

    Conseils

    Le paramètre Modèle de nom d’utilisateur détermine comment l’identité de l’utilisateur est associée à son compte Zoho OneAuth. Sélectionnez le modèle qui correspond à la manière dont les comptes de vos utilisateurs sont identifiés dans Zoho OneAuth — une incompatibilité entre le modèle et l’identifiant réel du compte entraînera un échec de l’authentification même si le TOTP lui-même est correct.

    Parce que Zoho OneAuth TOTP nécessite un enregistrement, informez les utilisateurs à l’avance et donnez-leur le temps d’installer l’application Zoho OneAuth et de la lier à leur compte ADSelfService Plus avant que l’authentificateur ne soit appliqué dans leur politique. Utilisez l’onglet MFA Enrollment (Entra ID) ou le rapport Enrolled Users (AD) pour suivre la progression de l’enregistrement.

    Si les utilisateurs changent d’appareil, ils devront réenregistrer leur application Zoho OneAuth. Envisagez d’associer cet authentificateur à une méthode de secours telle que la vérification par Email pour éviter que les utilisateurs ne soient bloqués lors d’une transition d’appareil.