Con la GUI

Puoi configurare il canale email della MFA attraverso la GUI.

1. Passa alla scheda Cloud Directory > Multifactor authentication del dashboard App ID.

2. Nella casella Enable Multifactor authentication, sulla scheda delle impostazioni, imposta MFA su Enabled. Riconosci che comprendi che la MFA comporta un addebito come un evento di sicurezza avanzata. Per impostazione predefinita, Email è selezionato come metodo di autenticazione (Authentication method).

3. Nella scheda Email channel, esamina Email template. Puoi scegliere di inviare il template con il testo fornito oppure di scrivere un tuo messaggio. Assicurati di utilizzare le tag HTML corrette. Nella console è possibile aggiungere parametri e inserire immagini. Per modificare la lingua del messaggio, è possibile utilizzare le API per impostare la lingua. Sei tuttavia responsabile del contenuto e della conversione del messaggio. La tabella seguente mostra l'elenco delle tabelle che è possibile utilizzare in questo messaggio e in tutti gli altri messaggi che è possibile inviare. Se un utente non fornisce le informazioni estratte dal parametro, questi campi saranno vuoti.

   Parametri del messaggio MFA

   Parametro	Descrizione
   %{display.logo}	Visualizza l'immagine che hai configurato per il tuo Widget di accesso.
   %{user.displayName}	Visualizza il nome della schermata che un utente ha scelto di utilizzare durante l'interazione con l'applicazione.
   %{user.email}	Visualizza l'indirizzo email registrato dell'utente.
   %{user.username}	Visualizza il nome utente specificato dall'utente quando il metodo di autenticazione è impostato su nome utente e password.
   %{user.firstName}	Visualizza il nome specificato dall'utente.
   %{user.formattedName}	Visualizza il nome completo dell'utente.
   %{user.lastName}	Visualizza il cognome specificato dall'utente.
   %{mfa.code}	Visualizza il codice di verifica MFA monouso.

   Se un utente non fornisce le informazioni estratte dal parametro, questi campi saranno vuoti.

Con le API

Assicurati di aver i seguenti prerequisiti:

• L'ID tenant della tua istanza App ID. Questo ID può essere trovato nella sezione Service Credentials del dashboard.
• Il tuo token IAM (Identity and Access Management). Per un aiuto nell'ottenimento del token IAM, consulta la Documentazione IAM.

Per abilitare la MFA:

1. Abilita la MFA effettuando una richiesta PUT all'endpoint /config/cloud_directory/mfa con la tua configurazione MFA per impostare isActive su true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa \
      --header 'Content-Type: application/json' \
      --header 'Accept: application/json' \
      --header 'Authorization: Bearer <IAMToken>' \
      -d '"isActive": true'
   

2. Abilitare il canale MFA effettuando una richiesta PUT all'endpoint /mfa/channels/<channel> con la configurazione MFA. Quando isActive è impostato su true, il tuo canale MFA è abilitato.

   $ curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/mfa/channels/email \
      --header 'Content-Type: application/json' \
      --header 'Accept: application/json' \
      --header 'Authorization: Bearer <IAMToken>' \
      -d '"isActive": true'
   

Se la tua istanza App ID Cloud Directory è configurata per operare con un mittente email personalizzato, la MFA utilizza lo stesso mittente per inviare il codice monouso. Per ulteriori informazioni, vedi la documentazione di Cloud Directory.

Prima di iniziare

App ID utilizza Vonage (ex Nexmo) per inviare codici MFA SMS una tantum.

• Ottieni la chiave API e il segreto Vonage. Puoi trovare la chiave API e il segreto Vonage nella pagina delle impostazioni del tuo account sul dashboard Vonage. Per ulteriori informazioni su come ottenere le credenziali, consultare il sito Documentazione Vonage.

• Registra il tuo ID mittente o il numero from con Vonage. Questo numero from è quello che appare sul telefono del tuo utente per mostrare da chi proviene l'SMS. In alcuni paesi, Vonage supporta ID mittente alfanumerici.App ID utilizza il valore immesso come ID mittente di Vonage. Quindi, se sono supportati da Vonage, puoi utilizzare gli ID con App ID.

Con la GUI

Per configurare la MFA con la GUI, consulta Cloud Directory.

1. Passa alla scheda Cloud Directory > Multifactor authentication del dashboard App ID.

2. Nella casella Enable multifactor authentication, sulla scheda delle impostazioni, imposta MFA su Enabled. Riconosci che comprendi che la MFA comporta un addebito come un evento di sicurezza avanzata.

3. Seleziona SMS come tuo metodo di autenticazione (Authentication method).

4. Nella scheda SMS channel, configura le informazioni sul tuo account Vonage.

   1. Se non hai già un account con Vonage, creane uno.

   2. Dal dashboard Vonage, fai clic su SMS.

   3. Nella sezione Code it yourself, copia la tua chiave API e incollala nella casella key nel dashboard App ID.

   4. Copia il segreto API nel dashboard Vonage e incollalo nella casella Secret sul dashboard App ID.

   5. Immettere l'ID da cui si desidera inviare i messaggi. Un formato di numero valido segue il formato di numerazione internazionale E.164. Ad esempio, un numero statunitense assume la forma +19998887777. Devi specificare sia il prefisso internazionale, che inizia con un simbolo +, che il numero dell'abbonato nazionale. In alcuni paesi, Vonage supporta ID mittente alfanumerici.App ID utilizza il valore immesso come ID mittente di Vonage. Quindi, se sono supportati da Vonage, puoi utilizzare gli ID con App ID.

Con le API

Prima di iniziare con l'API, assicurati di avere i seguenti prerequisiti:

• L'ID tenant della tua istanza App ID. Questo ID può essere trovato nella sezione Service Credentials del dashboard.
• Il tuo token IAM (Identity and Access Management). Per un aiuto nell'ottenimento del token IAM, consulta la Documentazione IAM.

1. Abilita la MFA effettuando una richiesta PUT all'endpoint /config/cloud_directory/mfa con la tua configurazione MFA per impostare isActive su true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

2. Abilitare il canale MFA effettuando una richiesta PUT all'endpoint /mfa/channels/<channel> con la configurazione MFA. Quando isActive è impostato su true, il tuo canale MFA è abilitato. config prende il segreto e la chiave API Nexmo e il numero from.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/mfa/channels/nexmo' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": true,
      "config": {
         "key": "<nexmoKey>",
         "secret": "<nexmoSecret>",
         "from": <senderPhoneNumber>
      }
   }'
   

3. Dopo che il canale è stato configurato con successo, verificate che la configurazione e la connessione di Nexmo siano state impostate correttamente utilizzando il pulsante di prova sulla console o utilizzando l'API di gestione.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/sms_dispatcher/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"phone_number": "+1 999 999 9999"}'
   

Prima di iniziare

Prima di registrare la tua estensione, assicurati di avere i seguenti prerequisiti:

• L'ID tenant della tua istanza App ID. Questo ID può essere trovato nella sezione Applications del dashboard.
• Il tuo token IAM (Identity and Access Management). Per un aiuto nell'ottenimento del token IAM, consulta la Documentazione IAM.

Per ulteriori informazioni sulle restrizioni e limitazioni relative all'uso delle estensioni, vedi Limiti di App ID.

Configurazione di pre-mfa

Con un'estensione pre-mfa, puoi definire i criteri che consentono agli utenti di evitare di dover immettere una seconda forma di autenticazione quando interagiscono con la tua applicazione.

1. Quando un utente esegue correttamente l'accesso alla tua applicazione, App ID invia una richiesta POST alla tua estensione.
2. La tua estensione utilizza le informazioni dalla richiesta POST per determinare se quello specifico utente può tralasciare il secondo requisito di fattore di autenticazione sulla base dei criteri da te definiti.
3. La tua configurazione restituisce una risposta JSON a App ID simile a {'skipMfa': true}.
4. In base alla risposta dalla tua configurazione, App ID procede con il flusso MFA oppure concede l'accesso alla tua applicazione.

Per impostazione predefinita, se si verifica un errore durante la richiesta al tuo punto di estensione, App ID richiede che l'utente completi la MFA.

Per configurare un'estensione pre-MFA:

1. Definisci i criteri che vuoi che siano soddisfatti da un utente prima che possa tralasciare il secondo fattore di autenticazione. Se non sei sicuro, consulta i seguenti esempi per avere qualche idea.

   Esempi di criteri per saltare l'AMF

   Caso di utilizzo di esempio	Convalida di esempio
   Vuoi che gli utenti forniscano un secondo fattore di autenticazione solo una volta al giorno.	Configurare l'estensione per convalidare il sito last_successful_first_factor entro lo stesso giorno.
   Avete una lista di utenti approvati che non devono fornire il secondo fattore ogni volta.	Configurare l'estensione per verificare che username o user_id sia presente nell'elenco dei permessi.
   Non vuoi che gli utenti che accedono alla tua applicazione su un desktop forniscano il secondo fattore ogni volta.	Configurare l'estensione per verificare che device_type sia impostato su web.

2. Quando conosci i tuoi criteri, configura un'estensione che possa restare in ascolto per una richiesta POST. L'endpoint deve essere in grado di leggere il payload che proviene da App ID. Il corpo inviato da App ID prima dell'avvio del flusso MFA è nel formato: {"jws": "jws-format-string"}. La tua estensione potrebbe anche decodificare e convalidare il payload, il contenuto è un oggetto JSON, e restituire una risposta JSON con il seguente schema: {"skipMfa": Boolean }. Ad esempio: {'skipMfa': true}.

   Le informazioni che App ID inoltra al punto di estensione.

   Informazioni	Descrizione
   correlation_id	Un numero casuale generato per ogni sessione MFA. Se hai sia un'estensione pre-mfa che un'estensione post-mfa, il numero è lo stesso per entrambe per la stessa sessione. Ad esempio, 3bb9236c-792f-4cca-8ae1-ada754cc4555.
   extension	Il nome della tua estensione. Per questo caso d'uso, l'estensione si chiama premfa.
   device_type	Il tipo di dispositivo con cui l'utente accede alla tua applicazione. Le opzioni includono: web e mobile.
   source_ip	L'indirizzo IP del dispositivo che effettua la richiesta alla tua applicazione. Ad esempio, 127.0.0.1.
   headers	Le informazioni restituite dal browser quando un utente tenta di accedere alla vostra applicazione. L'intestazione è simile a: {"user-agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0) Gecko/20100101 Firefox/42.0"}.
   tenant_id	L'ID tenant della tua applicazione.
   client_id	L'ID client della tua applicazione.
   user_id	L'ID dell'utente che effettua la richiesta di autenticazione. Ad esempio, 11112222-3333-4444-2222-555522226666.
   username	Il nome dell'utente che effettua la richiesta di autenticazione. Ad esempio, testuser@email.com.
   application_type	Il tipo della tua applicazione. Ad esempio, se la tua applicazione è un'applicazione web JavaScript a pagina singola, viene restituito browserapp. Le opzioni includono: browserapp, serverapp e mobileapp.
   first_name	Il nome dell'utente.
   last_name	Il cognome dell'utente.
   last_successful_first_factor	La data dell'ultima volta in cui l'utente ha inserito correttamente le proprie credenziali. Ad esempio, 1660032586651.
   last_successful_mfa	La data dell'ultima volta in cui l'utente ha completato l'intero flusso MFA. Ad esempio, 1660032586651.

   Per vedere un esempio di estensione, consultare l'esempio.

3. Registra la tua estensione con la tua istanza di App ID effettuando una richiesta PUT a config/cloud_directory/mfa/extensions/premfa. La configurazione include l'URL della tua estensione e le eventuali informazioni di autorizzazione necessarie per accedere all'endpoint. Per scopi di sviluppo, isActive è impostato su false. Assicurati di provare la tua configurazione prima di abilitarla.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": false,
      "config": {
         "url": "<extensionsURL>",
         "headers": {
               "Authorization": "<customExtensionAuthorizationHeader>"
            }
      }
   }'
   

   Si consiglia vivamente di utilizzare sempre HTTPS anziché HTTP per extensions_URL per garantire che la tua connessione sia crittografata.

4. Dopo che l'estensione è configurata correttamente, verifica che il tuo endpoint funzioni correttamente utilizzando l'API di test. App ID effettua una richiesta POST alla tua estensione configurata con i valori di esempio.

   curl -X POST https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>'
   

5. Abilita la tua estensione effettuando una richiesta PUT che imposta isActive su true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/premfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

   Per disabilitare la tua estensione, imposta isActive su false.

Configurazione di post-mfa

Quando si configura un'estensione e la si registra su App ID, il servizio richiama l'estensione dopo ogni tentativo di autenticazione in cui è presente un secondo fattore di identificazione. Potete utilizzare queste informazioni per prendere decisioni migliori per i vostri utenti. Ad esempio, puoi utilizzare le informazioni della raccolta dell'estensione post-mfa per la tua euristica e le tue regole e implementarle quindi utilizzando l'estensione pre-mfa.

1. Quando un utente esegue correttamente l'accesso alla tua applicazione, gli viene richiesto di immettere il suo secondo fattore di autenticazione.

2. Quando il secondo fattore di autenticazione viene completato correttamente, si verificano simultaneamente due azioni:

   1. App ID invia le informazioni sull'accesso alla tua estensione configurata.

   2. L'utente viene reindirizzato alla tua applicazione.

Per configurare un'estensione post-MFA:

1. Configura un punto di estensione che possa restare in ascolto per una richiesta POST. L'endpoint deve essere in grado di leggere il payload inviato da App ID. Facoltativamente, può anche decodificare e convalidare che il payload JSON restituito da App ID non sia stato alterato da una terza parte in alcun modo. Viene restituita una stringa formattata come {"jws": "jws-format-string"} che contiene le seguenti informazioni:

   Le informazioni che App ID inoltra al punto di estensione.

   Informazioni	Descrizione
   correlation_id	Un numero casuale generato per ogni sessione MFA. Se hai sia un'estensione pre-mfa che un'estensione post-mfa, il numero è lo stesso per entrambe. Ad esempio, 3bb9236c-792f-4cca-8ae1-ada754cc4555.
   extension	Il nome della tua estensione. Per questo caso d'uso, l'estensione si chiama postmfa.
   status	Lo stato della MFA. Le opzioni includono: success e failed.
   reason	Il motivo per un malfunzionamento della MFA. Ad esempio, user locked out - exceeded maximum number of verification attempts.
   device_type	Il tipo di dispositivo con cui il tuo utente accede alla tua applicazione. Le opzioni includono: web, mobile.
   source_ip	L'indirizzo IP del dispositivo che effettua la richiesta alla tua applicazione. Ad esempio, 127.0.0.1.
   headers	Le informazioni restituite dal browser quando un utente tenta di accedere alla vostra applicazione. L'intestazione è simile a quella di {"user-agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X x.y; rv:42.0) Gecko/20100101 Firefox/42.0"}.
   tenant_id	L'ID tenant della tua applicazione.
   client_id	L'ID client della tua applicazione.
   user_id	L'ID dell'utente che effettua la richiesta di autenticazione.
   username	Il nome dell'utente che effettua la richiesta di autenticazione. Ad esempio, testuser@email.com.
   application_type	Il tipo della tua applicazione. Ad esempio, se la tua applicazione è un'applicazione web JavaScript a pagina singola, viene restituito browserapp. Le opzioni includono: browserapp, serverapp e mobileapp.
   first_name	Il nome dell'utente.
   last_name	Il cognome dell'utente.

2. Registra la tua estensione con la tua istanza di App ID effettuando una richiesta PUT a config/cloud_directory/mfa/extensions/postmfa. La configurazione include l'URL della tua estensione e le eventuali informazioni di autorizzazione necessarie per accedere all'endpoint. Per scopi di sviluppo, isActive è impostato su false. Assicurati di provare la tua configurazione prima di abilitarla.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa' \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{
      "isActive": false,
      "config": {
         "url": "<extensionsURL>",
         "headers": {
               "Authorization": "<customExtensionAuthorizationHeader>"
            }
      }
   }'
   

   Si consiglia vivamente di utilizzare sempre HTTPS anziché HTTP per l'extensions_URL per garantire che la tua connessione sia crittografata.

3. Una volta che l'estensione è stata configurata correttamente, verifica che il tuo endpoint funzioni correttamente utilizzando l'API di test. App ID effettua una richiesta POST alla tua estensione configurata con i valori di esempio.

   curl -X POST https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa/test \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>'
   

4. Abilita la tua estensione impostando isActive su true.

   curl -X PUT https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/cloud_directory/mfa/extensions/postmfa \
   --header 'Content-Type: application/json' \
   --header 'Accept: application/json' \
   --header 'Authorization: Bearer <IAMToken>' \
   -d '{"isActive": true}'
   

   Per disabilitare la tua estensione, imposta isActive su false.