Mitarbeitende melden sich mit Okta Verify bei Windows an und öffnen dann Okta-verbundene Apps, ohne sich erneut anmelden zu müssen. Nutze es, wenn dein Unternehmen auf Okta basiert und du eine stärkere Anmeldung auf Windows-Geräten wünschst.

Funktion/Feature

Übersicht

Diese Steuerung ist nur für Windows:

Die Einrichtung erfordert Arbeit auf beiden Seiten: in der Okta Admin-Konsole und in Factorial IT. Folge den Schritten in der angegebenen Reihenfolge.

So verwendest du es

Schritt 1: Erstelle die Desktop MFA-App in Okta

1. Gehe in Okta zu Admin-Konsole > Anwendungen > Anwendungen > App-Katalog durchsuchen.
2. Finde Desktop MFA für Windows und klicke auf Integration hinzufügen.
3. Öffne die App und gehe zum Allgemein-Tab.
4. Kopiere die Client-ID und das Client-Geheimnis. Du benötigst beides in Schritt 4.

Wenn die Integration nicht verfügbar ist, sprich mit deinem Okta Account Manager: Okta Device Access ist ein kostenpflichtiges Add-On. Wenn du bereits die Mac-Anmeldung mit Okta eingerichtet hast, ist es bereits aktiv.

Schritt 2: Aktiviere die Okta Verify-Registrierung

1. Gehe zu Admin-Konsole > Sicherheit > Authentifizierer und überprüfe, ob Okta Verify aktiv ist.
2. Unter Sicherheit > Authentifizierer-Registrierung stelle sicher, dass jede*r Mitarbeitende in der Zielgruppe sich bei Okta Verify registrieren muss.

Schritt 3: Setze Okta Verify für Windows ein

Füge in der Softwarebibliothek Okta Verify für Windows dem Profil hinzu, das deine Windows-Geräte anspricht.

Mach dies vor Schritt 4. Wenn die Anmeldebildschirm-Einstellungen ankommen, bevor Okta Verify installiert ist, wird die Windows-Anmeldung unterbrochen.

Schritt 4: Setze die Okta ADMX-Einstellungen mit dem CSP Builder ein

1. Öffne den CSP Builder.
2. Lade die Okta Device Access ADMX-Vorlage. Bis sie direkt im CSP Builder angeboten wird, lade OktaODA.admx und OktaODA.adml aus dem Okta-Artikel zu Gruppenrichtlinienvorlagen für Desktop MFA für Windows herunter und lade sie manuell hoch.
3. Fülle diese Einstellungen aus:

• OrgUrl: deine Okta-Domain, zum Beispiel yourorganization.okta.com.
• ClientId: aus der Desktop MFA-App.
• ClientSecret: aus der Desktop MFA-App.

4. Exportiere die CSP-Richtlinie, die sie generiert, und wende sie auf das Profil an, das deine Windows-Geräte anspricht.

Schritt 5: Aktiviere Device-Bound SSO in Okta

Device-Bound SSO verwandelt die Desktop MFA-Anmeldung in eine dauerhafte Okta-Sitzung, sodass Mitarbeitende auf Okta-verbundene Apps zugreifen können, ohne sich erneut anmelden zu müssen.

Es benötigt Okta Verify 6.6.2 oder höher. Aktualisiere zuerst Okta Verify auf den Geräten: Bei älteren Versionen können die Device-Bound SSO-Registry-Einstellungen Mitarbeitende von Windows ausschließen.

1. Gehe zu Admin-Konsole > Einstellungen > Feature-Manager und aktiviere Device-Bound Single Sign-On (Früher Zugang).
2. Öffne Sicherheit > Geräteintegrationen und gehe zum Gerätezugriff-Tab.
3. Füge eine statische SCEP-Zertifizierungsstelle hinzu und kopiere die SCEP-URL und die SCEP-Herausforderung.

Schritt 6: Setze das SCEP-Zertifikat ein

Erstelle ein SCEP-Zertifikatprofil und setze es auf deinen Windows-Geräten ein. Wende es auf Computer-Ebene an, nicht auf Benutzer-Ebene.

Schritt 7: Setze die Authentifizierungsrichtlinien in Okta fest

1. Gehe zu Admin-Konsole > Sicherheit > Authentifizierungsrichtlinien.
2. Öffne oder erstelle eine Richtlinie für die Okta-verbundenen Apps, die du schützen möchtest.
3. Füge eine Regel für registrierte, Okta-verbundene Geräte hinzu:

• Setze Gerätestatus auf Registriert.
• Füge den Ausdruck device.provider.deviceAccess.joined == true hinzu.

4. Setze die Regel so, dass der Zugriff über die Gerätesitzung gewährt wird.

Was passiert auf dem Gerät

Die ADMX-Einstellungen installieren einen Windows Credential Provider. Wenn ein*e Mitarbeitende das Gerät sperrt oder aufweckt, übernimmt Okta Verify den Anmeldebildschirm. Der*die Mitarbeitende bestätigt mit Okta Verify (eine Push-Benachrichtigung, einen Einmalcode oder einen FIDO2-Schlüssel) und Windows wird entsperrt.

Mit aktivem Device-Bound SSO erstellt Okta bei der Anmeldung eine Sitzung, die an die sichere Hardware des Geräts gebunden ist. Wenn der*die Mitarbeitende eine Okta-verbundene App öffnet, überprüft Okta diese Sitzung anhand der Authentifizierungsrichtlinie der App. Wenn das Gerät Okta-verbunden ist und das erforderliche Sicherheitsniveau erfüllt, wird der Zugriff ohne zusätzliche Eingabeaufforderung gewährt.

Fehlerbehebung und FAQ

Fehlerbehebung

• Desktop MFA für Windows fehlt im Okta-Katalog. Okta Device Access ist ein kostenpflichtiges Add-On. Bitte deinen Okta Account Manager, es zu aktivieren.
• Der Windows-Anmeldebildschirm funktioniert nach der Bereitstellung nicht mehr. Die ADMX-Einstellungen sind wahrscheinlich angekommen, bevor Okta Verify installiert wurde. Stelle sicher, dass Okta Verify für Windows zuerst bereitgestellt wird.
• Mitarbeitende sind nach der Aktivierung von Device-Bound SSO ausgesperrt. Überprüfe die Okta Verify-Version auf dem Gerät. Sie muss 6.6.2 oder höher sein.
• Mitarbeitende werden weiterhin aufgefordert, sich bei Okta-Apps anzumelden. Überprüfe die Regel der Authentifizierungsrichtlinie: Gerätestatus auf Registriert gesetzt, der Ausdruck device.provider.deviceAccess.joined == true und der Zugriff, der über die Gerätesitzung gewährt wird.

FAQ

1. Auf welche Weise können Mitarbeitende ihre Anmeldung bestätigen?
   Mit Okta Verify: eine Push-Benachrichtigung, einen Einmalcode (TOTP) oder einen FIDO2-Schlüssel.
    
2. Brauche ich Device-Bound SSO?
   Nur wenn du möchtest, dass Mitarbeitende Okta-verbundene Apps öffnen, ohne sich erneut anmelden zu müssen. Die Windows-Anmeldung funktioniert auch ohne es.
    
3. Ich habe bereits die Mac-Anmeldung mit Okta eingerichtet. Muss ich noch etwas kaufen?
   Nein. Okta Device Access ist bereits für deine Organisation aktiv.