Beveilig gebruikerstoegang tot kritieke machines met machinegebaseerde MFA

Wat is apparaatgebaseerde MFA en waarom hebt u het nodig?

Apparaatgebaseerde of machinegebaseerde MFA betekent dat het MFA-proces wordt gestart voor een gebruiker op basis van het apparaat waarop ze zich aanmelden, in plaats van op basis van de eigenschappen van hun gebruikersaccount en beleidsinstellingen. Dit biedt extra voordelen op het gebied van beveiliging, authenticatie, apparaatvertrouwen en RDP-aanmelding voor gebruikers.

De gebruikelijke MFA van een Windows computer werkt door een tweede authenticatiefactor te vragen op basis van het gebruikersaccount wanneer ze zich proberen aan te melden bij een specifiek apparaat. De beleidsinstellingen en inschrijvingsstatus van de betreffende gebruiker bepalen het starten van het MF -proces voor Windows aanmelding. Dit betekent dat, als een gebruiker geen beleidsinstellingen heeft toegepast, het MFA-proces voor hem wordt overgeslagen tijdens het aanmelden bij hetzelfde apparaat waarvoor andere ingeschreven gebruikers MFA moeten voltooien.

Het niet inschakelen van MFA is een groot nadeel wanneer een gebruiker probeert in te loggen op een bedrijfskritisch apparaat, bijvoorbeeld een servermachine. MFA moet in dergelijke gevallen voor alle gebruikers in gelijke mate worden verplicht.

Apparaatgebaseerde MFA met ADSelfService Plus

ManageEngine ADSelfService Plus biedt MFA op basis van apparaten of computers, waarbij MFA wordt geactiveerd op basis van de beleidsinstellingen van het apparaat en niet op basis van die van het gebruikersaccount tijdens het aanmelden. Wanneer deze functie is ingeschakeld, moeten alle gebruikers die zich bij een bepaalde computer aanmelden, hun identiteit bewijzen met behulp van MFA, ongeacht hun inschrijvingsstatus, lidmaatschap van selfservicebeleid of ADSelfService Plus serverconnectiviteit. De authenticators die aan de gebruiker worden gevraagd, zijn vergelijkbaar met de authenticators die zijn geconfigureerd in de MFA-instellingen voor Windows aanmelding van ADSelfService Plus.

Hoe werkt apparaatgebaseerde (of machinegebaseerde) MFA?

Wanneer MFA op basis van een apparaat wordt afgedwongen voor een bepaalde computer, wordt elke gebruiker die toegang probeert te krijgen tot de computer gevraagd zijn identiteit te bewijzen met behulp van MFA om zich met succes aan te melden bij de computer. De MFA-authenticators die aan de gebruiker worden gevraagd, zijn gebaseerd op de authenticators die voor hen zijn geconfigureerd in de MFA voor aanmelding op de computer.

Gebruikers kunnen ervoor kiezen om de optie voor apparaatvertrouwen in te schakelen voor MFA op de computer. Wanneer dit is gebeurd, mogen ze zich na de eerste identiteitsverificatie gedurende een bepaalde duur bij de computer aanmelden zonder MFA uit te voeren.

Ondersteunde apparaattypen voor MFA op basis van machines

ADSelfService Plus ondersteunt het volgende:

• Windows machine-MFA
• Linux machine-MFA
• macOS machine-MFA
• Server-MFA
• Werkstation-MFA

Voordelen van het inschakelen van machinegebaseerde MFA met behulp van ADSelfService Plus

• Beveiliging voor kritieke machines

  Zorgt voor MFA-bescherming tijdens alle aanmeldingen, ongeacht het gebruikersaccount, voor bedrijfskritische servers en machines.

• Grote verscheidenheid aan authenticators

  Biedt MFA op basis van apparaten door te kiezen uit de verschillende authenticatie opties van ADSefService Plus.

• Opties voor het vertrouwen van een apparaat voor een verbeterde gebruikerservaring

  Maakt snelle aanmelding mogelijk voor gebruikers op hun computers zonder MFA voor een bepaalde duur na de eerste identiteitsverificatie via de optie voor vertrouwde apparaten.

• MFA voor RDP aanmeldingen

  Beveiligt externe desktop logins op een bepaald kritiek apparaat vanaf andere machines met MFA.