Autenticación multifactor

La autenticación multifactor (MFA) exige que un usuario demuestre su identidad dos veces. El usuario primero inicia sesión con una contraseña o inicio de sesión único. Access Manager luego solicita un código de acceso o un código de recuperación antes de emitir tokens de acceso. MFA aplica a las cuentas de usuario. No aplica a las aplicaciones de máquina a máquina que usan credenciales de cliente. Un inicio de sesión con passkey no pide un segundo factor.

​

Métodos admitidos

---

Un usuario puede activar más de un método y seleccionar uno como preferido. El método preferido aparece primero durante el inicio de sesión, pero el usuario puede seleccionar otro método activado.

​

Cómo funciona el inicio de sesión MFA

---

1. El usuario inicia sesión con una contraseña o inicio de sesión único.
2. Auth valida el primer factor.
3. Si MFA está activada para el usuario, Auth devuelve un token MFA de corta duración en lugar de tokens de acceso.
4. El usuario selecciona uno de los métodos activados.
5. Para correo electrónico, Auth envía un código de desafío. Una aplicación de autenticación genera su código localmente.
6. El usuario envía un código de acceso de seis dígitos o un código de recuperación.
7. Auth verifica el segundo factor y devuelve los tokens de acceso.

Si la organización exige un método MFA que el usuario no ha inscrito, Auth responde con el error AUT-0019 y un token MFA válido solo para la inscripción. Esto ocurre en el paso 3 cuando el usuario no tiene ningún método MFA, o en el paso 7 cuando el usuario tiene un método, pero no todos los métodos exigidos. El usuario configura y confirma uno de los métodos listados con ese token y, después, continúa desde el paso 4 con el mismo token. Lee Inscribe un método exigido. El token MFA expira después del tiempo de sesión configurado en el despliegue. La inscripción durante el inicio de sesión no lo extiende. Auth también limita los intentos de verificación y reenvío.

​

Configuración y códigos de recuperación

---

Un usuario debe configurar y verificar un método antes de activarlo. La configuración difiere según el método:

• La configuración de una aplicación de autenticación devuelve una URL de código QR y un secreto.
• La configuración por correo electrónico envía un código de verificación a la dirección de correo electrónico guardada.

Access Manager emite códigos de recuperación durante la inscripción en MFA. La inscripción durante el inicio de sesión emite un código de recuperación. Cada código de recuperación funciona una sola vez. El usuario puede usar uno cuando el método preferido no esté disponible. La API pública de Identity puede desactivar todos los métodos MFA de una cuenta. Esta operación también elimina los códigos de recuperación de la cuenta. Para desactivar MFA, envía el código que describe la referencia Deshabilitar MFA.

​

Acciones de autoservicio

---

Los usuarios pueden inscribir y gestionar sus propios métodos MFA en Console, en Settings › Security, o mediante la API de Identity. Un usuario también puede inscribir, durante el inicio de sesión, un método que la organización exige, mediante la API de Auth. En Console, un usuario puede activar una aplicación de autenticación o el correo electrónico, eliminar un método, elegir el método predeterminado y generar códigos de recuperación. La guía de Console cubre MFA al iniciar sesión y la eliminación de un método. Las operaciones de API de autoservicio requieren que el sujeto autenticado coincida con el ID de usuario de la ruta de solicitud.

​

Comportamiento ante fallos y recuperación

---

​

Próximos pasos

---