Pular para o conteúdo principal
Uma passkey permite que uma pessoa entre com um dispositivo, como um celular ou uma chave de segurança, em vez de uma senha. O login com passkey é uma opção da sua organização. Um administrador ativa ou desativa essa opção. As passkeys se aplicam a contas de usuário. As aplicações de máquina a máquina continuam a usar credenciais de cliente.

​
O que muda quando você ativa a opção

  • Uma pessoa que tem uma passkey entra com ela. O Auth recusa o login com senha dessa pessoa com 403 AUT-1019.
  • O Lerian Console faz login com senha ou SSO. Uma pessoa que tem uma passkey não consegue entrar no Console enquanto a opção está ativada.
  • Uma pessoa que não tem passkey entra com uma senha, e com MFA quando a MFA está habilitada.
  • Um login com passkey não pede um segundo fator.
Quando você desativa o login com passkey, o Access Manager mantém as passkeys armazenadas. Uma pessoa que tem uma passkey pode entrar com senha de novo.

​
Ativar ou desativar o login com passkey

Envie enabled para Atualizar a política de passkey. Quem chama precisa da permissão application-providers do plugin-identity com a ação patch. Obter a política de passkey mostra a opção e ssoActive, que é true quando um provedor de SSO está ativo. Ela precisa da ação get. Enquanto um provedor de SSO está ativo, o Identity recusa ativar as passkeys com 409 IDE-1068. Enquanto as passkeys estão ativadas, o Identity recusa configurar um provedor de SSO com 409 IDE-1069.

​
Adicionar uma passkey

Cada pessoa adiciona a própria passkey, com o próprio token. Uma conta tem uma passkey.
1

Comece o cadastro

Chame Começar o cadastro de passkey com o ID de usuário da pessoa. O Identity responde as opções de criação WebAuthn e um enrollmentToken.
2

Crie a passkey no navegador

Passe as opções para navigator.credentials.create.
3

Conclua o cadastro

Em até 5 minutos, envie o enrollmentToken e a credencial criada para Concluir o cadastro de passkey. Um cadastro funciona uma vez.
Para adicionar ou remover uma passkey, o token da pessoa deve ser recente: emitido há no máximo PASSKEY_RECENT_AUTH_SEC segundos. Caso contrário, o Identity recusa com 403 IDE-1070, e a pessoa entra novamente. O Identity recusa uma nova passkey com 409 IDE-1073 enquanto o login com passkey está desativado. Ele recusa com 409 IDE-1071 quando a conta já tem uma passkey. Essas operações precisam da permissão passkeys do plugin-identity: get para ler o status, post para adicionar uma passkey e delete para removê-la.

​
Entrar com uma passkey

1

Comece o login

Envie o email da pessoa para Começar um login com passkey. O Auth responde as opções de requisição WebAuthn e um passkeyToken.
2

Obtenha a asserção no navegador

Passe as opções para navigator.credentials.get.
3

Conclua o login

Em até 5 minutos, envie o passkeyToken e a asserção para Concluir um login com passkey. O Auth responde um access token e um refresh token. Um passkeyToken funciona uma vez.
Quando o tenant não oferece login com passkey, o Auth responde 403 AUT-1016. O Auth aplica a sua lista de IPs permitidos às duas chamadas, como faz em um login com senha. Descobrir como um email entra retorna passkeyEnabled, para que a sua tela de login possa oferecer a opção de passkey.

​
Remover uma passkey

Uma pessoa remove a própria passkey com Excluir a passkey. Isso também funciona enquanto o login com passkey está desativado. Quando uma pessoa perder o dispositivo, desative o login com passkey. A pessoa entra com senha e remove a passkey.

​
Requisitos de deploy (BYOC)

  • Defina MFA_SECRET no Auth. Sem ele, as duas chamadas de login com passkey respondem 503 AUT-0028. Veja Requisitos de deploy da MFA.
  • PASSKEY_RECENT_AUTH_SEC no Identity define a idade máxima, em segundos, do token que adiciona ou remove uma passkey. O padrão é 600.
  • Rode o Caradhras v1.8.0 ou posterior.
  • No Caradhras, defina webauthnRpId e webauthnRpOrigins: o domínio que as suas páginas de login compartilham e as origens HTTPS das páginas que fazem uma cerimônia de passkey.

​
Páginas relacionadas

Autenticação multifator

Adicione uma segunda etapa de verificação ao login com senha e com SSO.

Lista de erros