Yếu tố xác thực thứ hai (MFA)

Yếu tố xác thực thứ hai là một tùy chọn của gói Premium, do Omniscol kích hoạt theo yêu cầu. Sau đó, trường của bạn chọn các vai trò áp dụng và các yếu tố xác thực thứ hai được chấp nhận.

Bật yếu tố xác thực thứ hai

Trong Quản trị → Thông số, mục Bảo mật, nút Cấu hình ở dòng Yếu tố xác thực thứ hai (MFA) mở phần cấu hình:

• Các vai trò áp dụng — các vai trò mà tài khoản phải chứng minh yếu tố xác thực thứ hai: Quản trị viên, Nhân viên, Giáo viên. Nếu không chọn vai trò nào, tùy chọn không hoạt động. Học sinh không bao giờ phải chứng minh yếu tố xác thực thứ hai.
• Các yếu tố xác thực thứ hai được chấp nhận — những gì một tài khoản có thể đăng ký: Khóa truy cập, Ứng dụng xác thực hoặc Mã qua email. Cần ít nhất một.
• Ghi nhớ trình duyệt — khi người dùng chứng minh yếu tố xác thực thứ hai, cho phép họ không bị hỏi lại trên trình duyệt này trong số ngày bạn đặt, từ 1 đến 90. Mật khẩu vẫn luôn được yêu cầu.

Bên cạnh nút, một nhãn cho biết tùy chọn đang bật hay không, và áp dụng cho những vai trò nào.

Ngay khi tùy chọn được lưu, phiên của một tài khoản thuộc vai trò được chọn, được mở mà không có yếu tố xác thực thứ hai, sẽ bị ngắt ở thao tác tiếp theo: người dùng đăng nhập lại và đăng ký yếu tố của mình. Các ứng dụng mà họ đã cấp quyền trước đó, chẳng hạn một trợ lý kết nối qua MCP, cần được cấp quyền lại.

Khi đăng nhập

Sau mật khẩu, tài khoản thuộc vai trò được chọn phải qua một bước thứ hai.

Lần đăng nhập đầu tiên: đăng ký yếu tố xác thực thứ hai

Ở lần đăng nhập đầu tiên, tài khoản đăng ký một yếu tố xác thực thứ hai trong số các yếu tố mà trường chấp nhận:

• Khóa truy cập — nút Tạo khóa truy cập đăng ký một khóa truy cập trên thiết bị; sau đó, vân tay, khuôn mặt hoặc mã khóa của thiết bị xác nhận mỗi lần đăng nhập;
• Ứng dụng xác thực — người dùng quét mã QR bằng một ứng dụng xác thực trên điện thoại, rồi nhập mã sáu chữ số mà ứng dụng hiển thị;
• Mã qua email — nút Nhận mã qua email gửi một mã sáu chữ số, có hiệu lực mười phút, tới địa chỉ email của tài khoản. Tài khoản không có địa chỉ email thì không thể chọn yếu tố này.

Mỗi tài khoản chỉ đăng ký một yếu tố xác thực thứ hai, và vẫn giữ nó nếu về sau trường không còn chấp nhận loại đó.

Quản trị viên còn nhận thêm mười mã dự phòng, chỉ hiển thị một lần. Mỗi mã thay thế yếu tố xác thực thứ hai cho một lần đăng nhập, khi thiết bị bị mất: hãy cất giữ chúng ở nơi an toàn.

Các lần đăng nhập tiếp theo

Từ đó, mỗi lần đăng nhập đều yêu cầu yếu tố xác thực thứ hai đã đăng ký: khóa truy cập, mã của ứng dụng, hoặc mã gửi qua email, được gửi đi tự động. Quản trị viên cũng có thể nhập một mã dự phòng.

Nếu trường cho phép, một ô đánh dấu giúp không phải nhập lại nó trên trình duyệt này trong số ngày đã đặt. Trình duyệt khác vẫn luôn yêu cầu, cũng như lần đăng nhập ngay sau khi nó được đặt lại.

Với SSO

Sau khi đăng nhập qua nhà cung cấp danh tính (OIDC / SSO), bước tương tự hiện ra trên trang đăng nhập: yếu tố xác thực thứ hai được thêm vào SSO.

Đặt lại yếu tố xác thực thứ hai

Tài khoản đã mất yếu tố xác thực thứ hai — đổi điện thoại, xóa khóa truy cập — sẽ đăng ký một yếu tố mới sau khi được đặt lại:

• với một tài khoản: nút Cài đặt lại yếu tố xác thực thứ hai ở dòng mở rộng của tài khoản đó, cạnh Mật khẩu, trong danh sách theo vai trò: Các quản trị viên, Giáo viên hoặc Nhân viên;
• với tất cả tài khoản: Cài đặt lại yếu tố thứ hai của mọi tài khoản, ở cuối phần cấu hình yếu tố xác thực thứ hai.

Việc đặt lại tất cả tài khoản, cũng như đặt lại tài khoản quản trị viên, yêu cầu xác nhận danh tính của bạn. Tài khoản sẽ đăng ký một yếu tố xác thực thứ hai mới ở lần đăng nhập kế tiếp, và các trình duyệt đã ghi nhớ đều bị quên. Các phiên đang mở của tài khoản vẫn tiếp tục: để ngắt chúng, hãy vô hiệu hóa tài khoản.

Quản trị viên đã mất yếu tố xác thực thứ hai đăng nhập bằng một mã dự phòng, hoặc nhờ một quản trị viên khác đặt lại. Bộ phận hỗ trợ của Omniscol có thể đặt lại yếu tố của quản trị viên cuối cùng.

Cần biết

• Mã qua email là yếu tố xác thực thứ hai yếu nhất: việc đặt lại mật khẩu cũng đi qua cùng hộp thư đó. Để bảo vệ tốt hơn, chỉ nên chấp nhận khóa truy cập và ứng dụng xác thực.
• Một khóa truy cập gắn với địa chỉ của trường nơi nó được tạo: từ một địa chỉ khác, nó không hoạt động.