Avec l'interface graphique

Vous pouvez configurer le canal des e-mails de l'authentification multifacteur à l'aide de l'interface graphique.

1. Accédez à l'onglet Cloud Directory > Authentification multifacteur du tableau de bord App ID.

2. A la section Activer l'authentification multifacteur, dans l'onglet Paramètres, faites basculer l'authentification multifacteur sur Activé. Confirmez que vous avez compris que l'authentification multifacteur est facturée en tant qu'événement de sécurité avancée. Par défaut, E-mail est sélectionné comme Méthode d'authentification.

3. Dans l'onglet Canal des e-mails, examinez le Modèle d'e-mail. Vous pouvez choisir d'envoyer le modèle avec les termes fournis ou rédiger votre propre message. Veillez à utiliser la balise HTML appropriée. Dans la console, vous pouvez ajouter des paramètres et insérer des images. Pour changer la langue du message, vous pouvez utiliser les API pour définir la langue. Toutefois, le contenu et la conversion du message relèvent de votre seule responsabilité. Consultez le tableau suivant pour afficher la liste des tableaux que vous pouvez utiliser dans ce message et tous les autres messages que vous pouvez envoyer. Si un utilisateur ne fournit pas l'information recueillie par le paramètre, un blanc apparaît.

   Paramètres du message d'AMF

   Paramètre	Description
   %{display.logo}	Affiche l'image que vous avez configurée pour votre widget de connexion.
   %{user.displayName}	Affiche le pseudonyme (appelé nom d'écran dans l'interface) que l'utilisateur choisit d'utiliser lorsqu'il interagit avec l'application.
   %{user.email}	Affiche l'adresse électronique avec laquelle l'utilisateur s'est inscrit.
   %{user.username}	Affiche le nom d'utilisateur spécifié pour l'utilisateur lorsque l'authentification est effectuée à l'aide d'un nom d'utilisateur et d'un mot de passe.
   %{user.firstName}	Affiche le prénom spécifié par l'utilisateur.
   %{user.formattedName}	Affiche le nom complet de l'utilisateur.
   %{user.lastName}	Affiche le nom de famille spécifié par l'utilisateur.
   %{mfa.code}	Affiche un code de vérification d'authentification multifacteur unique.

   Si un utilisateur ne fournit pas l'information recueillie par le paramètre, un blanc apparaît.

Avec les API

Assurez-vous de disposer des prérequis suivants :

• Votre ID titulaire d'instance App ID. Cet ID est disponible dans la section Données d'identification pour le service du tableau de bord.
• Votre jeton IAM (Identity and Access Management). Pour obtenir de l'aide sur l'obtention d'un jeton IAM, consultez la documentation IAM.

Pour activer MFA :

1. Activez l'authentification multifacteur (MFA) en envoyant une demande PUT au noeud final /config/cloud_directory/mfa avec votre configuration MFA pour définir isActive sur true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa \
      --header 'Content-Type: application/json' \
      --header 'Accept: application/json' \
      --header 'Authorization: Bearer <IAMToken>' \
      -d '"isActive": true'
   

2. Activez votre canal MFA en faisant une demande PUT au point de terminaison /mfa/channels/<channel> avec votre configuration MFA. Lorsque isActive est défini sur true, votre canal d'authentification multifacteur est activé.

   $ curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/mfa/channels/email \
      --header 'Content-Type: application/json' \
      --header 'Accept: application/json' \
      --header 'Authorization: Bearer <IAMToken>' \
      -d '"isActive": true'
   

Si votre instance App ID Cloud Directory est configurée pour fonctionner avec un expéditeur de courrier électronique personnalisé, l'authentification multifacteur utilise le même expéditeur pour fournir le code à usage unique. Pour plus d'informations, voir la documentation Cloud Directory.

Avant de commencer

App ID utilise Vonage (anciennement Nexmo) pour envoyer des codes à usage unique par SMS.

• Procurez-vous votre clé d'API et votre secret Vonage. Ces informations figurent sur la page des paramètres de votre compte dans le tableau de bord Vonage. Consultez la documentation de Vonage pour plus d'informations sur la façon d'obtenir vos informations d'identification.

• Enregistrez votre ID d'expéditeur ou le numéro d'expéditeur (from) dans Vonage. Ce numéro from est ce qui apparaît sur le téléphone de votre utilisateur pour indiquer la provenance du SMS. Dans certains pays, Vonage prend en charge les ID émetteurs alphanumériques. App ID utilise la valeur que vous entrez en tant qu'ID émetteur de Vonage. Par conséquent, s'ils sont pris en charge par Vonage, vous pouvez utiliser les ID avec App ID.

Avec l'interface graphique

Pour configurer l'authentification multifacteur avec l'interface graphique, consultez Cloud Directory.

1. Accédez à l'onglet Cloud Directory > Authentification multifacteur du tableau de bord App ID.

2. A la section Activer l'authentification multifacteur, dans l'onglet Paramètres, faites basculer l'authentification multifacteur sur Activé. Confirmez que vous avez compris que l'authentification multifacteur est facturée en tant qu'événement de sécurité avancée.

3. Sélectionnez SMS comme méthode d'authentification.

4. Dans l'onglet Canal des SMS, configurez vos informations de compte Vonage.

   1. Si vous n'avez pas encore de compte Vonage, créez-en un.

   2. Dans le tableau de bord Vonage, cliquez sur SMS.

   3. Dans la section Code it yourself, copiez votre clé d'API et collez-la dans la zone key du tableau de bord App ID.

   4. Copiez la valeur de la zone API secret du tableau de bord Vonage et collez-la dans la zone Secret du tableau de bord App ID.

   5. Saisissez l'ID à partir duquel vous souhaitez envoyer des messages. Un format de numéro valide suit le format de numérotation international E.164. Par exemple, un numéro américain se présente sous la forme +19998887777. Vous devez spécifier à la fois le code pays précédé du signe + et le numéro national de l'abonné. Dans certains pays, Vonage prend en charge les ID émetteurs alphanumériques. App ID utilise la valeur que vous entrez en tant qu'ID émetteur de Vonage. Par conséquent, s'ils sont pris en charge par Vonage, vous pouvez utiliser les ID avec App ID.

Avec les API

Avant d'utiliser l'API, assurez-vous de disposer des prérequis suivants :

• Votre ID titulaire d'instance App ID. Cet ID est disponible dans la section Données d'identification pour le service du tableau de bord.
• Votre jeton IAM (Identity and Access Management). Pour obtenir de l'aide sur l'obtention d'un jeton IAM, consultez la documentation IAM.

1. Activez l'authentification multifacteur (MFA) en envoyant une demande PUT au noeud final /config/cloud_directory/mfa avec votre configuration MFA pour définir isActive sur true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

2. Activez votre canal MFA en faisant une demande PUT au point de terminaison /mfa/channels/<channel> avec votre configuration MFA. Lorsque isActive est défini sur true, votre canal d'authentification multifacteur est activé. La section config extrait la clé d'API et le secret Nexmo ainsi que le numéro indiqué dans from.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/mfa/channels/nexmo' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": true,
      "config": {
         "key": "<nexmoKey>",
         "secret": "<nexmoSecret>",
         "from": <senderPhoneNumber>
      }
   }'
   

3. Une fois le canal configuré avec succès, vérifiez que votre configuration et votre connexion Nexmo sont correctes en utilisant le bouton de test sur la console ou en utilisant l'API de gestion.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/sms_dispatcher/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"phone_number": "+1 999 999 9999"}'
   

Avant de commencer

Avant d'enregistrer votre extension, assurez-vous de disposer des prérequis suivants :

• Votre ID titulaire d'instance App ID. Cet ID est disponible dans la section Applications du tableau de bord.
• Votre jeton IAM (Identity and Access Management). Pour obtenir de l'aide sur l'obtention d'un jeton IAM, consultez la documentation IAM.

Pour plus d'informations sur les restrictions et les limitations liées à l'utilisation des extensions, voir Limites d'App ID .

Configuration de l'extension pré-MFA

Avec une extension pré-MFA, vous pouvez définir les critères qui permettent aux utilisateurs d'éviter d'avoir à entrer une deuxième forme d'authentification lorsqu'ils interagissent avec votre application.

1. Lorsqu'un utilisateur parvient à se connecter à votre application, App ID envoie une demande POST à votre extension.
2. Votre extension utilise les informations de la demande POST pour déterminer si cet utilisateur particulier peut ignorer l'exigence d'un deuxième facteur d'authentification en fonction des critères que vous avez définis.
3. Votre configuration renvoie une réponse JSON à App ID qui ressemble à ceci : {'skipMfa': true}.
4. En fonction de la réponse de votre configuration, App ID lance le flux d'authentification multifacteur ou octroie l'accès à votre application.

Par défaut, si une erreur se produit lors de la demande envoyée à votre point d'extension, App ID exige que l'utilisateur ait recours à l'authentification multifacteur.

Pour configurer une extension pré-MFA :

1. Définissez les critères auxquels doit répondre un utilisateur pour pouvoir ignorer le deuxième facteur d'authentification. Consultez les exemples suivants pour avoir une idée si ce n'est pas clair pour vous.

   Exemple de critères pour l'abandon de l'AMF

   Exemple de cas d'utilisation	Exemple de validation
   Vous souhaitez que les utilisateurs fournissent un deuxième facteur d'authentification une seule fois par jour.	Configurez votre extension pour valider que le paramètre last_successful_first_factor intervient dans la même journée.
   Vous avez une liste d'utilisateurs approuvés qui n'ont pas besoin de fournir le second facteur à chaque fois.	Configurez votre extension pour valider que username ou user_id figure dans la liste autorisée.
   Vous ne souhaitez pas que vos utilisateurs passent par un ordinateur de bureau pour fournir le deuxième facteur à chaque fois.	Configurez votre extension pour valider que le type d'unité (device_type) est défini sur web.

2. Lorsque vous connaissez vos critères, configurez une extension pouvant écouter une demande POST. Le noeud final doit pouvoir lire le contenu provenant d'App ID. Le corps envoyé par App ID avant le démarrage du flux MFA est au format suivant: {"jws": "jws-format-string"}. Votre extension peut également décoder et valider le contenu (un objet JSON) et renvoyer une réponse JSON selon le schéma suivant : {"skipMfa": Boolean }. Par exemple : {'skipMfa': true}.

   Les informations que App ID transmet à votre point d'extension.

   Informations	Description
   correlation_id	Nombre aléatoire généré pour chaque session MFA. Si vous disposez à la fois d'une extension pré-MFA et post-MFA, ce nombre est identique pour chacune de ces extensions pour la même session. Par exemple, 3bb9236c-792f-4cca-8ae1-ada754cc4555.
   extension	Nom de votre extension. Pour ce cas d'utilisation, l'extension est nommée premfa.
   device_type	Type d'unité utilisée par votre utilisateur pour accéder à votre application. Options possibles : web et mobile.
   source_ip	Adresse IP de l'appareil ayant envoyé la demande à votre application. Par exemple, 127.0.0.1.
   headers	Informations renvoyées par le navigateur lorsqu'un utilisateur tente de se connecter à votre application. L'en-tête se présente ainsi : {"user-agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0) Gecko/20100101 Firefox/42.0"}.
   tenant_id	ID titulaire de votre application.
   client_id	ID client de votre application.
   user_id	ID de l'utilisateur qui a envoyé la demande d'authentification. Par exemple, 11112222-3333-4444-2222-555522226666.
   username	Nom d'utilisateur de la personne qui a envoyé la demande d'authentification. Par exemple, testuser@email.com.
   application_type	Type de votre application. Par exemple, s'il s'agit d'une application Web JavaScript à page unique, la valeur browserapp est renvoyée. Options possibles : browserapp, serverapp et mobileapp.
   first_name	Prénom de l'utilisateur.
   last_name	Nom de famille de l'utilisateur.
   last_successful_first_factor	Date de la dernière saisie correcte des données d'identification par l'utilisateur. Par exemple, 1660032586651.
   last_successful_mfa	Date de la dernière exécution complète du flux d'authentification multifacteur par l'utilisateur. Par exemple, 1660032586651.

   Pour voir un exemple d'extension, consultez l'exemple.

3. Enregistrez votre extension avec votre instance d'App ID en envoyant une demande PUT à config/cloud_directory/mfa/extensions/premfa. La configuration comprend l'URL de votre extension et les informations d'autorisation requises pour accéder au noeud final. A des fins de développement, isActive est défini sur false. Prenez soin de tester votre configuration avant de l'activer.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": false,
      "config": {
         "url": "<extensionsURL>",
         "headers": {
               "Authorization": "<customExtensionAuthorizationHeader>"
            }
      }
   }'
   

   Il est vivement recommandé de toujours utiliser HTTPS au lieu de HTTP pour extensions_URL pour faire en sorte que votre connexion soit chiffrée.

4. Une fois l'extension configurée, vérifiez que votre nœud final fonctionne correctement à l'aide de l'API de test. App ID effectue une requête POST sur votre extension configurée avec les exemples de valeurs.

   curl -X POST https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>'
   

5. Activez votre extension avec une demande PUT qui définit le paramètre isActive avec la valeur true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

   Pour désactiver votre extension, définissez isActive avec la valeur false.

Configuration de l'extension post-MFA

Lorsque vous configurez une extension et l'enregistrez avec App ID, le service appelle votre extension après chaque tentative d'authentification dans laquelle il y a un second facteur d'identification. Vous pouvez utiliser ces informations pour prendre de meilleures décisions pour vos utilisateurs. Par exemple, vous pouvez utiliser les informations sur la collecte de l'extension post-MFA pour vos règles et votre méthode heuristique, puis utiliser l'extension pré-MFA pour les appliquer.

1. Lorsqu'un utilisateur parvient à se connecter à votre application, il est invité à saisir son deuxième facteur d'authentification.

2. Lorsque ce deuxième facteur d'authentification est saisi correctement, deux actions simultanées se déclenchent :

   1. App ID envoie les informations concernant la connexion à l'extension que vous avez configurée.

   2. L'utilisateur est redirigé vers votre application.

Pour configurer une extension post-MFA :

1. Configurez un point d'extension pouvant écouter une demande POST. Le noeud final doit pouvoir lire le contenu envoyé par App ID. Facultativement, il peut aussi décoder le contenu JSON renvoyé par App ID et valider qu'il n'a été modifié en aucune façon par un tiers. Une chaîne au format {"jws": "jws-format-string"} est renvoyée avec les informations suivantes :

   Les informations que App ID transmet à votre point d'extension.

   Informations	Description
   correlation_id	Nombre aléatoire généré pour chaque session MFA. Si vous disposez à la fois d'une extension pré-MFA et post-MFA, ce nombre est identique pour chacune de ces extensions. Par exemple, 3bb9236c-792f-4cca-8ae1-ada754cc4555.
   extension	Nom de votre extension. Pour ce cas d'utilisation, l'extension est nommée postmfa.
   status	Statut de l'authentification MFA. Options possibles : success et failed.
   reason	Cause de l'échec de l'authentification MFA. Par exemple, user locked out - exceeded maximum number of verification attempts.
   device_type	Type d'unité utilisée par votre utilisateur pour accéder à votre application. Options possibles : web, mobile.
   source_ip	Adresse IP de l'appareil ayant envoyé la demande à votre application. Par exemple, 127.0.0.1.
   headers	Informations renvoyées par le navigateur lorsqu'un utilisateur tente de se connecter à votre application. L'en-tête se présente ainsi : {"user-agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0) Gecko/20100101 Firefox/42.0"}.
   tenant_id	ID titulaire de votre application.
   client_id	ID client de votre application.
   user_id	ID de l'utilisateur qui a envoyé la demande d'authentification.
   username	Nom d'utilisateur de la personne qui a envoyé la demande d'authentification. Par exemple, testuser@email.com.
   application_type	Type de votre application. Par exemple, s'il s'agit d'une application Web JavaScript à page unique, la valeur browserapp est renvoyée. Options possibles : browserapp, serverapp et mobileapp.
   first_name	Prénom de l'utilisateur.
   last_name	Nom de famille de l'utilisateur.

2. Enregistrez votre extension avec votre instance d'App ID en envoyant une demande PUT à config/cloud_directory/mfa/extensions/postmfa. La configuration comprend l'URL de votre extension et les informations d'autorisation requises pour accéder au noeud final. A des fins de développement, isActive est défini sur false. Prenez soin de tester votre configuration avant de l'activer.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": false,
      "config": {
         "url": "<extensionsURL>",
         "headers": {
               "Authorization": "<customExtensionAuthorizationHeader>"
            }
      }
   }'
   

   Il est vivement recommandé de toujours utiliser HTTPS au lieu de HTTP pour extensions_URL pour faire en sorte que votre connexion soit chiffrée.

3. Une fois l'extension configurée, vérifiez que votre nœud final fonctionne correctement à l'aide de l'API de test. App ID effectue une requête POST sur votre extension configurée avec les exemples de valeurs.

   curl -X POST https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>'
   

4. Activez votre extension en définissant le paramètre isActive avec la valeur true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

   Pour désactiver votre extension, définissez isActive avec la valeur false.