Tweede authenticatiefactor (MFA)

De tweede authenticatiefactor is een optie van het Premium-plan, die Omniscol op aanvraag activeert. Uw instelling kiest vervolgens de betrokken rollen en de tweede authenticatiefactoren die zij toestaat.

De tweede authenticatiefactor activeren

In Beheer → Instellingen, sectie Beveiliging, opent de knop Configureren op de regel Tweede authenticatiefactor (MFA) de configuratie:

• Betrokken rollen — de rollen waarvan de accounts een tweede authenticatiefactor moeten bewijzen: Beheerder, Personeel, Docent. Zonder gekozen rol is de optie niet actief. Leerlingen hoeven nooit een tweede authenticatiefactor te bewijzen.
• Toegestane tweede authenticatiefactoren — wat een account kan registreren: Toegangssleutel, Authenticator-app of Code per e-mail. Minstens één.
• Browser onthouden — biedt op het moment dat de tweede authenticatiefactor wordt bewezen aan om er op deze browser niet meer naar te vragen, gedurende het aantal dagen dat u vastlegt, van 1 tot 90. Het wachtwoord blijft wel gevraagd.

Naast de knop geeft een label aan of de optie actief is, en voor welke rollen.

Zodra de optie is opgeslagen, wordt de sessie van een account met een gekozen rol, geopend zonder tweede authenticatiefactor, bij de eerstvolgende handeling onderbroken: de gebruiker logt opnieuw in en registreert de zijne. Applicaties die hij eerder had gemachtigd, bijvoorbeeld een assistent die via MCP is verbonden, moeten opnieuw worden gemachtigd.

Bij het inloggen

Na het wachtwoord doorloopt een account met een gekozen rol een tweede stap.

Eerste keer inloggen: een tweede authenticatiefactor registreren

Bij de eerste keer inloggen registreert het account een tweede authenticatiefactor, uit die welke de instelling toestaat:

• Toegangssleutel — de knop Een toegangssleutel aanmaken registreert een toegangssleutel op het apparaat; de vingerafdruk, het gezicht of de vergrendelingscode van het apparaat bevestigt vervolgens elke aanmelding;
• Authenticator-app — de gebruiker scant een QR-code met een authenticator-app op zijn telefoon en voert daarna de zescijferige code in die de app toont;
• Code per e-mail — de knop Een code per e-mail ontvangen stuurt een zescijferige code, tien minuten geldig, naar het e-mailadres van het account. Een account zonder e-mailadres kan deze niet kiezen.

Een account registreert één enkele tweede authenticatiefactor en houdt die, ook als de instelling dat type daarna niet meer toestaat.

Beheerders krijgen daarbovenop tien back-upcodes, die slechts één keer worden getoond. Elke code vervangt de tweede authenticatiefactor voor één aanmelding, als het apparaat kwijt is: bewaar ze op een veilige plek.

Volgende keren inloggen

Bij elke aanmelding wordt daarna de geregistreerde tweede authenticatiefactor gevraagd: de toegangssleutel, de code van de app, of de code per e-mail, die automatisch wordt verstuurd. Een beheerder kan ook een back-upcode invoeren.

Als de instelling het toestaat, kunt u met een selectievakje op deze browser niet meer om de tweede authenticatiefactor laten vragen, gedurende het vastgelegde aantal dagen. Een andere browser vraagt er altijd naar, evenals een aanmelding na het opnieuw instellen ervan.

Met SSO

Na het inloggen via de identiteitsprovider (OIDC / SSO) verschijnt dezelfde stap op de inlogpagina: de tweede authenticatiefactor komt bovenop de SSO.

Een tweede authenticatiefactor opnieuw instellen

Een account dat zijn tweede authenticatiefactor kwijt is — telefoon vervangen, toegangssleutel verwijderd — registreert na een reset een nieuwe:

• voor één account: de knop Tweede authenticatiefactor opnieuw instellen op de uitgeklapte regel van het account, naast Wachtwoord, in de lijst van zijn rol: Beheerders, Docenten of Personeel;
• voor alle accounts: Tweede factor van alle accounts opnieuw instellen, onderaan de configuratie van de tweede authenticatiefactor.

Een reset van alle accounts vraagt, net als die van een beheerdersaccount, om uw identiteit te bevestigen. Het account registreert bij de eerstvolgende aanmelding een nieuwe tweede authenticatiefactor, en de onthouden browsers worden vergeten. De sessies die al open zijn, lopen door: schakel het account uit om ze te onderbreken.

Een beheerder die zijn tweede authenticatiefactor kwijt is, logt in met een back-upcode, of een andere beheerder stelt die opnieuw in. De Omniscol-support kan die van de laatste beheerder opnieuw instellen.

Goed om te weten

• De code per e-mail is de zwakste tweede authenticatiefactor: het opnieuw instellen van het wachtwoord loopt via dezelfde mailbox. Voor sterkere bescherming staat u alleen de toegangssleutel en de authenticator-app toe.
• Een toegangssleutel is gekoppeld aan het adres van de instelling waarop hij is aangemaakt: vanaf een ander adres werkt hij niet.