Funcionários fazem login no Windows com Okta Verify e, em seguida, abrem aplicativos conectados ao Okta sem precisar fazer login novamente. Use isso quando sua empresa utiliza Okta e você deseja um login mais seguro em dispositivos Windows.

Recurso/Função

Visão Geral

Este controle é apenas para Windows:

Configurá-lo exige trabalho de ambos os lados: no Console de Administração do Okta e na Factorial de TI. Siga os passos na ordem.

Como usar

Passo 1: Crie o aplicativo Desktop MFA no Okta

1. No Okta, vá para Admin Console > Applications > Applications > Browse App Catalog.
2. Encontre Desktop MFA for Windows e clique em Add integration.
3. Abra o aplicativo e vá para a aba General.
4. Copie o Client ID e o Client Secret. Você precisará de ambos no Passo 4.

Se a integração não estiver disponível, converse com seu Gerente de Conta do Okta: o Okta Device Access é um complemento pago. Se você já configurou o login do Mac com Okta, ele já está ativo.

Passo 2: Ative a inscrição do Okta Verify

1. Vá para Admin Console > Security > Authenticators e verifique se o Okta Verify está ativo.
2. Em Security > Authenticator enrollment, certifique-se de que todos os funcionários abrangidos devem se inscrever no Okta Verify.

Passo 3: Implante o Okta Verify para Windows

Na biblioteca de software, adicione Okta Verify for Windows ao perfil que visa seus dispositivos Windows.

Faça isso antes do Passo 4. Se as configurações da tela de login chegarem antes do Okta Verify ser instalado, o login do Windows falha.

Passo 4: Implante as configurações ADMX do Okta com o CSP Builder

1. Abra o CSP Builder.
2. Carregue o modelo ADMX do Okta Device Access. Até que seja oferecido diretamente no CSP Builder, baixe OktaODA.admx e OktaODA.adml do artigo do Okta sobre modelos de Política de Grupo para Desktop MFA for Windows e faça o upload manualmente.
3. Preencha estas configurações:

• OrgUrl: seu domínio Okta, por exemplo yourorganization.okta.com.
• ClientId: do aplicativo Desktop MFA.
• ClientSecret: do aplicativo Desktop MFA.

4. Exporte a política CSP que ele gera e aplique-a ao perfil que visa seus dispositivos Windows.

Passo 5: Ative o SSO Vinculado ao Dispositivo no Okta

O SSO Vinculado ao Dispositivo transforma o login do Desktop MFA em uma sessão Okta duradoura, permitindo que os funcionários acessem aplicativos conectados ao Okta sem um segundo login.

Ele requer o Okta Verify 6.6.2 ou posterior. Atualize o Okta Verify nos dispositivos primeiro: em versões mais antigas, as configurações do registro do SSO Vinculado ao Dispositivo podem bloquear os funcionários fora do Windows.

1. Vá para Admin Console > Settings > Feature Manager e ative o Device-Bound Single Sign-On (Acesso Antecipado).
2. Abra Security > Device integrations e vá para a aba Device Access.
3. Adicione uma Autoridade Certificadora SCEP Estática e copie a SCEP URL e o SCEP challenge.

Passo 6: Implante o certificado SCEP

Crie um perfil de certificado SCEP e implante-o em seus dispositivos Windows. Aplique-o em Nível de Computador, não em nível de Usuário.

Passo 7: Defina as políticas de autenticação no Okta

1. Vá para Admin Console > Security > Authentication Policies.
2. Abra ou crie uma política para os aplicativos conectados ao Okta que você deseja proteger.
3. Adicione uma regra para dispositivos registrados e vinculados ao Okta:

• Defina Device State como Registered.
• Adicione a expressão device.provider.deviceAccess.joined == true.

4. Defina a regra para conceder acesso através da sessão do dispositivo.

O que acontece no dispositivo

As configurações ADMX instalem um Windows Credential Provider. Quando um funcionário bloqueia ou ativa o dispositivo, o Okta Verify assume a tela de login. O funcionário confirma com o Okta Verify (uma notificação push, um código único ou uma chave FIDO2) e o Windows é desbloqueado.

Com o SSO Vinculado ao Dispositivo ativado, o Okta cria uma sessão no login que está atrelada ao hardware seguro do dispositivo. Quando o funcionário abre um aplicativo conectado ao Okta, o Okta verifica essa sessão em relação à política de autenticação do aplicativo. Se o dispositivo estiver vinculado ao Okta e atender ao nível de garantia exigido, o acesso é concedido sem solicitação adicional.

Resolução de Problemas e FAQ

Resolução de Problemas

• Desktop MFA for Windows está faltando no catálogo do Okta. O Okta Device Access é um complemento pago. Peça ao seu Gerente de Conta do Okta para ativá-lo.
• A tela de login do Windows parou de funcionar após a implantação. As configurações ADMX provavelmente chegaram antes do Okta Verify ser instalado. Certifique-se de que o Okta Verify for Windows seja implantado primeiro.
• Funcionários estão bloqueados após ativar o SSO Vinculado ao Dispositivo. Verifique a versão do Okta Verify no dispositivo. Deve ser 6.6.2 ou posterior.
• Funcionários ainda são solicitados a fazer login nos aplicativos do Okta. Verifique a regra da política de autenticação: Device State definido como Registered, a expressão device.provider.deviceAccess.joined == true, e acesso concedido através da sessão do dispositivo.

FAQ

1. Quais maneiras os funcionários podem confirmar seu login?
   Com o Okta Verify: uma notificação push, um código único (TOTP) ou uma chave FIDO2.
    
2. Preciso do SSO Vinculado ao Dispositivo?
   Apenas se você quiser que os funcionários abram aplicativos conectados ao Okta sem precisar fazer login novamente. O login do Windows funciona sem isso.
    
3. Já configurei o login do Mac com Okta. Preciso comprar mais alguma coisa?
   Não. O Okta Device Access já está ativo para sua organização.