Les employé·e·s se connectent à Windows avec Okta Verify puis ouvrent des applications connectées à Okta sans se reconnecter. Utilisez-le lorsque votre entreprise fonctionne avec Okta et que vous souhaitez une connexion plus sécurisée sur les appareils Windows.

Fonctionnalité

Vue d'ensemble

Ce contrôle est uniquement pour Windows :

Sa configuration nécessite des efforts des deux côtés : dans la Console d'administration Okta et dans Factorial IT. Suivez les étapes dans l'ordre.

Comment utiliser

Étape 1 : Créer l'application Desktop MFA dans Okta

1. Dans Okta, allez à Console d'administration > Applications > Applications > Parcourir le catalogue d'applications.
2. Trouvez Desktop MFA pour Windows et cliquez sur Ajouter l'intégration.
3. Ouvrez l'application et allez à l'onglet Général.
4. Copiez le ID client et le Secret client. Vous en aurez besoin à l'étape 4.

Si l'intégration n'est pas disponible, parlez à votre·votre responsable de compte Okta : l'accès aux appareils Okta est un module complémentaire payant. Si vous avez déjà configuré la connexion Mac avec Okta, elle est déjà active.

Étape 2 : Activer l'inscription à Okta Verify

1. Allez à Console d'administration > Sécurité > Authentificateurs et vérifiez que Okta Verify est actif.
2. Sous Sécurité > Inscription des authentificateurs, assurez-vous que chaque employé·e concerné·e doit s'inscrire à Okta Verify.

Étape 3 : Déployer Okta Verify pour Windows

Dans la bibliothèque de logiciels, ajoutez Okta Verify pour Windows au profil qui cible vos appareils Windows.

Faites cela avant l'étape 4. Si les paramètres de l'écran de connexion arrivent avant qu'Okta Verify ne soit installé, la connexion Windows sera interrompue.

Étape 4 : Déployer les paramètres ADMX d'Okta avec le CSP Builder

1. Ouvrez le CSP Builder.
2. Chargez le modèle ADMX Okta Device Access. Jusqu'à ce qu'il soit proposé directement dans le CSP Builder, téléchargez OktaODA.admx et OktaODA.adml à partir de l'article d'Okta sur les modèles de stratégie de groupe pour Desktop MFA pour Windows et téléchargez-les manuellement.
3. Remplissez ces paramètres :

• OrgUrl : votre domaine Okta, par exemple yourorganization.okta.com.
• ClientId : provenant de l'application Desktop MFA.
• ClientSecret : provenant de l'application Desktop MFA.

4. Exportez la politique CSP qu'il génère et appliquez-la au profil qui cible vos appareils Windows.

Étape 5 : Activer le SSO lié à l'appareil dans Okta

Le SSO lié à l'appareil transforme la connexion Desktop MFA en une session Okta durable, permettant aux employé·e·s d'accéder aux applications connectées à Okta sans une seconde connexion.

Il nécessite Okta Verify 6.6.2 ou ultérieur. Mettez d'abord à jour Okta Verify sur les appareils : sur les versions plus anciennes, les paramètres de registre SSO lié à l'appareil peuvent bloquer l'accès des employé·e·s à Windows.

1. Allez à Console d'administration > Paramètres > Gestionnaire de fonctionnalités et activez le Single Sign-On lié à l'appareil (Accès anticipé).
2. Ouvrez Sécurité > Intégrations d'appareils et allez à l'onglet Accès aux appareils.
3. Ajoutez une autorité de certification SCEP statique et copiez l'URL SCEP et le challenge SCEP.

Étape 6 : Déployer le certificat SCEP

Créez un profil de certificat SCEP et déployez-le sur vos appareils Windows. Appliquez-le au niveau de l'ordinateur, pas au niveau de l'utilisateur.

Étape 7 : Définir les politiques d'authentification dans Okta

1. Allez à Console d'administration > Sécurité > Politiques d'authentification.
2. Ouvrez ou créez une politique pour les applications connectées à Okta que vous souhaitez protéger.
3. Ajoutez une règle pour les appareils enregistrés, joints à Okta :

• Définissez État de l'appareil sur Enregistré.
• Ajoutez l'expression device.provider.deviceAccess.joined == true.

4. Définissez la règle pour accorder l'accès via la session de l'appareil.

Ce qui se passe sur l'appareil

Les paramètres ADMX installent un Fournisseur d'identifiants Windows. Lorsque un·e employé·e verrouille ou réveille l'appareil, Okta Verify prend en charge l'écran de connexion. L'employé·e confirme avec Okta Verify (une notification push, un code à usage unique ou une clé FIDO2) et Windows se déverrouille.

Avec le SSO lié à l'appareil activé, Okta crée une session à la connexion qui est liée au matériel sécurisé de l'appareil. Lorsque l'employé·e ouvre une application connectée à Okta, Okta vérifie cette session par rapport à la politique d'authentification de l'application. Si l'appareil est joint à Okta et répond au niveau d'assurance requis, l'accès est accordé sans invite supplémentaire.

Dépannage et FAQ

Dépannage

• Desktop MFA pour Windows est manquant dans le catalogue Okta. L'accès aux appareils Okta est un module complémentaire payant. Demandez à votre·votre responsable de compte Okta de l'activer.
• L'écran de connexion Windows a cessé de fonctionner après le déploiement. Les paramètres ADMX sont probablement arrivés avant qu'Okta Verify ne soit installé. Assurez-vous qu'Okta Verify pour Windows est déployé en premier.
• Les employé·e·s sont bloqué·e·s après avoir activé le SSO lié à l'appareil. Vérifiez la version d'Okta Verify sur l'appareil. Elle doit être 6.6.2 ou ultérieure.
• Les employé·e·s sont toujours invité·e·s à se connecter aux applications Okta. Vérifiez la règle de la politique d'authentification : État de l'appareil défini sur Enregistré, l'expression device.provider.deviceAccess.joined == true, et l'accès accordé via la session de l'appareil.

FAQ

1. Quelles sont les façons dont les employé·e·s peuvent confirmer leur connexion ?
   Avec Okta Verify : une notification push, un code à usage unique (TOTP) ou une clé FIDO2.
    
2. Ai-je besoin du SSO lié à l'appareil ?
   Seulement si vous souhaitez que les employé·e·s ouvrent des applications connectées à Okta sans se reconnecter. La connexion Windows fonctionne sans cela.
    
3. J'ai déjà configuré la connexion Mac avec Okta. Dois-je acheter autre chose ?
   Non. L'accès aux appareils Okta est déjà activé pour votre organisation.