Step-up-Verifizierung
Verlangen Sie von einem Nutzer nach dem Passwort einen zweiten Nachweis: einen Passkey oder einen Code aus einer Authenticator-App. Sie können ihn vor einer sensiblen Operation verlangen oder bei jeder Anmeldung an einer App.
Ein zweiter Schritt nach dem Passwort
Ein Passkey ist hier ein zweiter Faktor und nie ein Weg, sich allein anzumelden: Die Anmeldeseite bietet keine Passkey-Option. Stattdessen kann ein Sicherheitsschlüssel verwendet werden. Das Step-up prüft zuerst erneut das Passwort, sodass nur ein Nutzer mit Passwort einen Faktor registrieren oder nachweisen kann.
Vor einer sensiblen Operation
Eine Operation kann einen zweiten Faktor verlangen. Sie legen die Anforderung mit foir operations update und dessen Flag --second-factor fest, und sie erreicht die Produktion beim nächsten Release. Ein Lauf, dessen Sitzung keinen Faktor nachgewiesen hat, wird mit FAILED_PRECONDITION und einer Meldung abgelehnt, die Sie selbst formulieren können. Eine Operation, die diese Anforderung trägt, kann nicht von einem Hook oder einem Zeitplan gestartet werden.
Bei jeder Anmeldung an einer App
Jede Anmelde-App hat in der Konsole einen Schalter MFA verlangen. Ist er aktiv, schließt eine Passwort-Anmeldung auf der gehosteten Seite erst ab, wenn der Nutzer einen Faktor nachgewiesen hat. Ein Nutzer ohne Faktor registriert einen während dieser Anmeldung, mit einem Passkey oder durch Scannen eines QR-Codes in einer Authenticator-App.
Der Schalter schließt auch jeden ohne Passwort aus. Nutzer, die sich mit einem per E-Mail gesendeten Code oder über einen Identity Provider anmelden, können sich an dieser App gar nicht anmelden.
Step-up ohne Abmeldung
Ein angemeldeter Nutzer kann mitten in einer Sitzung einen Faktor registrieren oder ein Step-up durchführen. Er gibt sein Passwort erneut ein und weist den Faktor nach, und der Nachweis wird der Sitzung hinzugefügt, die er bereits hält. Dafür ist eine Sitzung auf einer verifizierten eigenen Login-Domain. Eine App mit Token-Flow hat keine solche Sitzung, und ihre Nutzer erhalten einen zweiten Faktor, indem sie sich erneut über eine App anmelden, die einen verlangt.
Details nachlesen
Für das Step-up gibt es keine eigene Dokumentationsseite, und der Leitfaden zum Operationen-Endpunkt behandelt nur die Anforderung, die Sie an einer Operation festlegen.