Este tópico explica como configurar e utilizar a autenticação WebAuthn no IDaaS EIAM da alibaba cloud. O WebAuthn oferece uma experiência de login sem senha mais segura e prática. Além disso, o conteúdo aborda os benefícios do recurso e as etapas de configuração para ajudar administradores a integrar rapidamente o WebAuthn ao sistema de identidade corporativo.
Visão geral
O WebAuthn faz parte do padrão FIDO 2.0 e entrega uma experiência de login sem senha com segurança em nível de hardware, considerada referência para páginas web. Ele utiliza os recursos nativos de criptografia e biometria dos computadores para autenticar o acesso a sites.
Você pode utilizar dois tipos de hardware:
Autenticador móvel (Cross Platform): dispositivo externo que se conecta fisicamente e pode ser utilizado em diferentes equipamentos, como uma chave YubiKey.
Autenticador de plataforma (Platform): recurso de autenticação integrado ao computador ou dispositivo usado para navegar na internet, como o Mac Touch ID ou o Windows Hello.
Para mais detalhes, consulte o Guia WebAuthn (link externo). Praticamente todos os navegadores modernos suportam o WebAuthn. Para verificar a compatibilidade da sua versão, clique em aqui (link externo).
Demonstração de login
Conclua um login seguro informando apenas o nome de usuário, sem necessidade de senha. O fluxo funciona da seguinte maneira:
Após o login, acesse a página My Applications do portal de aplicativos do IDaaS. A tela lista os aplicativos SSO atribuídos à sua conta (como mO-Jira e Alibaba Cloud - SASE). clique em um cartão de aplicativo para realizar o login único. Caso um aplicativo mostre a mensagem Application account not configured, configure a conta do aplicativo antes de prosseguir.
Registro de autenticador
Antes de usar um autenticador para fazer login, vincule o dispositivo à sua conta.
Cada usuário que precisa acessar o sistema com WebAuthn deve acesse a página My Account. Em Security Information > WebAuthn authenticator, clique em gerencie e registre um novo autenticador na página de gerenciamento exibida.
O processo leva apenas um minuto. Ao iniciar o registro, siga as instruções do navegador para concluir a operação.
Após a conclusão, os autenticadores com status ativado ficam prontos para autenticação. Os usuários também podem gerenciar seus autenticadores registrados.
Os administradores não podem gerenciar autenticadores de usuários no momento. Cada pessoa deve concluir os processos de registro e gerenciamento de forma independente.
Cenários de login
Cenário 1: login sem senha
Uma das aplicações mais comuns e práticas do WebAuthn consiste em substituir o acesso tradicional baseado em senhas.
Acesse a página de login do IDaaS, insira o nome da conta e selecione um método de autenticação WebAuthn para validação. Após a confirmação bem-sucedida, faça login no aplicativo. Esse fluxo é válido para o acesso a todos os aplicativos web. A figura abaixo ilustra o processo:
No menu Login, guia General, os administradores do IDaaS localizam a opção WebAuthn, desativada por padrão. ative-a para utilizar esse recurso.
Após a ativação, a opção de login WebAuthn aparece na página de autenticação. Selecione-a para fazer login (este exemplo utiliza autenticação Mac Touch ID).
O IDaaS recupera as informações do autenticador registrado para a conta especificada. Se nenhum dispositivo estiver registrado, o sistema exibe um erro e impede o uso do recurso.
Cenário 2: MFA
O WebAuthn também se destaca como um dos métodos mais seguros e versáteis para autenticação multifator (MFA).
Os usuários informam a conta e a senha normalmente. Se o MFA estiver ativo, eles são direcionados para o fluxo de verificação adicional, onde podem escolha usar um autenticador WebAuthn para validar a identidade de forma segura. A figura abaixo mostra o processo:
No menu Login, guia 2nd Authentication, os administradores do IDaaS selecione o método MFA WebAuthn e salve a configuração. Verifique se o MFA está ativado.
Após a ativação, os usuários chegam à página de MFA assim que fazem login com a conta. Quando um usuário registra um autenticador WebAuthn, ele pode selecionar esse método para uma verificação de identidade rápida e segura.
A interface de MFA oferece quatro opções de verificação: código de verificação por SMS, código de verificação por e-mail, senha dinâmica baseada em aplicativo e autenticador WebAuthn. clique em Select WebAuthn authenticator e o navegador exibirá uma caixa de diálogo de verificação de identidade. Conclua a etapa de MFA utilizando o Touch ID ou insira a senha do dispositivo.