Gestiona MFA por API

MFA usa dos APIs de Access Manager:

Identity inscribe métodos y gestiona la configuración MFA del usuario.
Auth completa el segundo paso de verificación durante el inicio de sesión.

Lee Autenticación multifactor antes de integrar estas operaciones.

Operaciones de inscripción de cuentas

La API de Identity expone estas operaciones de autoservicio:

Operación	Propósito
`POST /v1/users/{id}/mfa/setup`	Inicia la configuración de `app` o `email`.
`POST /v1/users/{id}/mfa/verify`	Verifica el código de acceso de configuración.
`POST /v1/users/{id}/mfa/enable`	Activa el método verificado.
`GET /v1/users/{id}/mfa`	Lee el estado MFA actual y los métodos activados.
`PATCH /v1/users/{id}/mfa/preferred`	Selecciona el método activado preferido.
`DELETE /v1/users/{id}/mfa`	Desactiva todos los métodos.

Las operaciones estándar son de autoservicio. El sujeto del bearer token debe coincidir con {id}.

Inicia la configuración

Envía el método en el cuerpo de la solicitud:

Request

{
  "mfaType": "app"
}

Esta función admite app y email. La configuración de una aplicación de autenticación devuelve un secreto, una URL de código QR y códigos de recuperación. La configuración por correo electrónico devuelve códigos de recuperación y envía un código de acceso a la dirección de correo electrónico guardada del usuario.

Verifica la configuración

Envía el código de acceso de configuración de 6 a 8 caracteres y el método. La verificación de una aplicación de autenticación también necesita el secreto devuelto por la configuración.

Request

{
  "mfaType": "app",
  "passcode": "123456",
  "secret": "setup-secret"
}

Activa el método

Después de la verificación, activa el método con uno de los códigos de recuperación de la respuesta de configuración. La activación de una aplicación de autenticación también necesita el secreto de configuración.

Request

{
  "mfaType": "app",
  "secret": "setup-secret",
  "recoveryCode": "recovery-code"
}

Trata los secretos de configuración y los códigos de recuperación como credenciales. No los registres en logs ni los almacenes en el control de código fuente.

Operaciones de inicio de sesión

El primer factor usa Solicitar token de acceso. Cuando se requiere MFA, la operación devuelve una respuesta de desafío MFA en lugar de tokens de acceso. La respuesta incluye:

mfaRequired: true.
un mfaToken de corta duración.
los métodos activados.
el método preferido.

Solicita la entrega por correo electrónico

Usa Iniciar desafío MFA para el correo electrónico.

Request

{
  "mfaToken": "short-lived-mfa-token",
  "mfaType": "email"
}

No solicites la entrega para app. La aplicación de autenticación genera el código de acceso localmente.

Verifica el segundo factor

Usa Verificar inicio de sesión MFA. Envía passcode o recoveryCode, pero no ambos.

Passcode

{
  "mfaToken": "short-lived-mfa-token",
  "mfaType": "app",
  "passcode": "123456"
}

Recovery code

{
  "mfaToken": "short-lived-mfa-token",
  "mfaType": "app",
  "recoveryCode": "unused-recovery-code"
}

Una verificación exitosa devuelve la respuesta estándar de token de acceso. Un código de recuperación se consume después de un uso exitoso.

Manejo de errores

Los errores importantes de inicio de sesión incluyen:

Código	Significado
`AUT-0015`	MFA es obligatoria antes de que Auth pueda emitir tokens de acceso.
`AUT-0016`	El código de acceso o el código de recuperación no es válido.
`AUT-0017`	La sesión MFA expiró. Reinicia el inicio de sesión.
`AUT-0018`	Se excedió el límite de verificaciones o reenvíos.
`AUT-0019`	El método seleccionado todavía necesita configuración.
`AUT-0020`	El token MFA no es válido.

Identity también puede rechazar un método no admitido, un secreto de configuración faltante, un destino de correo electrónico faltante o una configuración no verificada. Consulta la lista de errores de Access Manager para conocer el envelope de error completo y los códigos actuales.

Primeros pasos

Funcionalidades

Despliegue y operaciones

Arquitectura

Proveedor de identidad (Caradhras)

Gestiona MFA por API

Operaciones de inscripción de cuentas

Inicia la configuración

Verifica la configuración

Activa el método

Operaciones de inicio de sesión

Solicita la entrega por correo electrónico

Verifica el segundo factor

Manejo de errores

Páginas relacionadas

Completa MFA en Console

APIs de Identity

​Operaciones de inscripción de cuentas

​Inicia la configuración

​Verifica la configuración

​Activa el método

​Operaciones de inicio de sesión

​Solicita la entrega por correo electrónico

​Verifica el segundo factor

​Manejo de errores

​Páginas relacionadas

Completa MFA en Console

APIs de Identity

Operaciones de inscripción de cuentas

Inicia la configuración

Verifica la configuración

Activa el método

Operaciones de inicio de sesión

Solicita la entrega por correo electrónico

Verifica el segundo factor

Manejo de errores

Páginas relacionadas