ステップアップ認証

パスワードの後の2つ目のステップ

ここでのパスキーは第二要素であり、単独でサインインする手段にはなりません。サインインページにパスキーの選択肢はありません。代わりにセキュリティキーも使えます。ステップアップではまずパスワードを再確認するため、要素を登録したり証明したりできるのは、パスワードを持つユーザーだけです。

機密性の高いオペレーションの前

個々のオペレーションに第二要素を要求できます。要件はfoir operations updateの--second-factorフラグで設定し、次のリリースで本番に反映されます。要素を証明していないセッションの実行は、FAILED_PRECONDITIONで拒否され、メッセージは自分で文言を決められます。この要件を持つオペレーションを、フックやスケジュールから開始することはできません。

アプリへのサインインのたび

各サインインアプリには、コンソールにRequire MFAのスイッチがあります。オンにすると、ホスト型ページでのパスワードサインインは、ユーザーが要素を証明した後にのみ完了します。要素を持たないユーザーは、そのサインインの途中で、パスキーを使うか、QRコードを認証アプリで読み取って登録します。

このスイッチは、パスワードを持たないユーザーも締め出します。メールで届くコードでサインインするユーザーや、アイデンティティプロバイダー経由でサインインするユーザーは、そのアプリにはまったくサインインできません。

サインアウトせずにステップアップ

サインイン済みのユーザーは、セッションの途中で登録やステップアップができます。パスワードを再入力して要素を証明すると、その証明はすでに持っているセッションに追加されます。これには、検証済みのカスタムログインドメイン上のセッションが必要です。トークンフローのアプリにはそのようなセッションがなく、ユーザーが第二要素を使うには、要件のあるアプリで再度サインインします。