Drugi składnik uwierzytelniania (MFA)

Drugi składnik uwierzytelniania to opcja planu Premium, włączana przez Omniscol na żądanie. Placówka wybiera następnie objęte role oraz dozwolone drugie składniki uwierzytelniania.

Włączanie drugiego składnika uwierzytelniania

W Administracja → Ustawienia, w sekcji Bezpieczeństwo, przycisk Konfiguruj w wierszu Drugi składnik uwierzytelniania (MFA) otwiera konfigurację:

• Objęte role — role, których konta muszą potwierdzić drugi składnik uwierzytelniania: Administrator, Personel, Nauczyciel. Bez wybranej roli opcja jest nieaktywna. Uczniowie nigdy nie potwierdzają drugiego składnika uwierzytelniania.
• Dozwolone drugie składniki uwierzytelniania — co konto może zarejestrować: Klucz dostępu, Aplikacja uwierzytelniająca lub Kod e-mailem. Co najmniej jeden.
• Zapamiętać przeglądarkę — przy potwierdzaniu drugiego składnika uwierzytelniania proponuje, by nie pytać o niego ponownie w tej przeglądarce przez ustaloną liczbę dni, od 1 do 90. Hasło jest nadal wymagane.

Obok przycisku etykieta pokazuje, czy opcja jest aktywna i dla jakich ról.

Po zapisaniu opcji sesja konta wybranej roli, otwarta bez drugiego składnika uwierzytelniania, zostaje przerwana przy następnej czynności: użytkownik loguje się ponownie i rejestruje własny. Aplikacje, którym wcześniej zezwolił na dostęp, na przykład asystent podłączony przez MCP, wymagają ponownej autoryzacji.

Przy logowaniu

Po wpisaniu hasła konto wybranej roli przechodzi drugi etap.

Pierwsze logowanie: rejestracja drugiego składnika uwierzytelniania

Przy pierwszym logowaniu konto rejestruje drugi składnik uwierzytelniania spośród tych, które placówka dopuszcza:

• Klucz dostępu — przycisk Utworzyć klucz dostępu rejestruje klucz dostępu na urządzeniu; odcisk palca, twarz lub kod blokady urządzenia potwierdzają następnie każde logowanie;
• Aplikacja uwierzytelniająca — użytkownik skanuje kod QR aplikacją uwierzytelniającą w telefonie, a następnie wpisuje sześciocyfrowy kod, który ona wyświetla;
• Kod e-mailem — przycisk Otrzymać kod e-mailem wysyła sześciocyfrowy kod, ważny dziesięć minut, na adres e-mail konta. Konto bez adresu e-mail nie może go wybrać.

Konto rejestruje tylko jeden drugi składnik uwierzytelniania i zachowuje go, nawet jeśli placówka przestanie później dopuszczać ten typ.

Administratorzy otrzymują dodatkowo dziesięć kodów zapasowych, wyświetlanych tylko raz. Każdy z nich jednorazowo zastępuje drugi składnik uwierzytelniania na wypadek utraty urządzenia: należy je przechowywać w bezpiecznym miejscu.

Kolejne logowania

Każde następne logowanie wymaga zarejestrowanego drugiego składnika uwierzytelniania: klucza dostępu, kodu z aplikacji albo kodu wysłanego e-mailem, który wychodzi automatycznie. Administrator może też wpisać kod zapasowy.

Jeśli placówka na to zezwala, pole wyboru pozwala nie pytać o niego w tej przeglądarce przez ustaloną liczbę dni. Inna przeglądarka zawsze o niego pyta, podobnie jak logowanie po jego zresetowaniu.

Z SSO

Po zalogowaniu przez dostawcę tożsamości (OIDC / SSO) ten sam etap wyświetla się na stronie logowania: drugi składnik uwierzytelniania uzupełnia SSO.

Resetowanie drugiego składnika uwierzytelniania

Konto, które utraciło drugi składnik uwierzytelniania — wymiana telefonu, usunięty klucz dostępu — rejestruje nowy po zresetowaniu:

• dla jednego konta: przycisk Zresetować drugi składnik uwierzytelniania w jego rozwiniętym wierszu, obok Hasło, na liście jego roli: Administratorzy, Nauczyciele lub Personel;
• dla wszystkich kont: Zresetować drugi składnik wszystkich kont, na dole konfiguracji drugiego składnika uwierzytelniania.

Zresetowanie wszystkich kont, podobnie jak konta administratora, wymaga potwierdzenia tożsamości. Konto rejestruje nowy drugi składnik uwierzytelniania przy następnym logowaniu, a dotąd rozpoznawane przeglądarki przestają być zapamiętane. Otwarte już sesje konta trwają nadal: aby je przerwać, należy dezaktywować konto.

Administrator, który utracił drugi składnik uwierzytelniania, loguje się kodem zapasowym albo resetuje go inny administrator. Wsparcie Omniscol może zresetować drugi składnik uwierzytelniania ostatniego administratora.

Warto wiedzieć

• Kod e-mailem to najsłabszy drugi składnik uwierzytelniania: resetowanie hasła odbywa się przez tę samą skrzynkę. Dla silniejszej ochrony należy dopuścić tylko klucz dostępu i aplikację uwierzytelniającą.
• Klucz dostępu jest powiązany z adresem placówki, na którym został utworzony: z innego adresu nie działa.