Multi-Faktor-Authentifizierung (MFA) für mySORBA aktivieren

Einleitung

SORBA-Seitig muss die "Neue Authentifizierung" in der mySORBA-Konfiguration aktiviert worden sein (kontaktieren Sie uns für die Aktivierung).
Danach wird beim Aufstarten vom mySORBA eine neue Anmeldemaske gestartet:

Anmeldung mit Microsoft-Login

Bei entsprechender Konfiguration kann das Microsoft-Azure-Login für das Anmelden in eine SORBA-Domäne verwendet werden.
Diese Anmeldeart muss mit Ihrem IT-Dienstleister koordiniert werden, so dass das mySORBA als berechtigter Client in Ihrer EntraID Umgebung akzeptiert wird.

In der mySORBA-Konfiguration muss dafür die Einstellung "Neue Authentifizierung" und "Microsoft-Auth" angehakt sein.
Zudem funktioniert das Login im mySORBA nur, wenn der Identitätsname vom Azure-Login gleich lautet wie der mySORBA-Benutzername.
 

Stimmen diese Daten überein, kann über "Mit Microsoft anmelden" der Microsoft-Login-Prozess gestartet werden und nach erfolgreicher Anmeldung landet man in der angepassten mySORBA-Anmeldemaske.

mySORBA-Anmeldemaske mit aktivem neuen Anmeldeverfahren

Im anschliessenden Anmeldefenster sind die Optionen reduziert worden:

MFA aktivieren

Jeder Benutzer muss selber die MFA-Option aktivieren:

"MFA Verwaltung" (wenn der Menüpunkt fehlt, wurde die Neue Authentifizierung SORBA-Seitig nicht aktiviert):

Das Fenster der MFA Verwaltung ist einfach gehalten:

Neue MFA Methode hinzufügen
Hiermit kann eine SMS oder Email Methode hinzugefügt werden.

MFA Methode entfernen
Methode wo der Cursor draufsteht wird entfernt.
Diese Anpassung wird direkt übernommen.

SMS Methode für MFA verwenden

Für die SMS Methode wird die Mobiltelefonnummer im Muster "+41781234567" erfasst. 
Die Ländervorwahl +41 wird vorausgesetzt, die Null wird nicht eingesetzt:

1. Mobiltelefonnummer eingeben.
2. Bestätigungscode senden, als Verarbeitungsmeldung erhält man:
   
   Ein Code wurde an Ihre Telefonnummer gesendet. Bitte geben Sie den Code ein.
3. Im Feld "Verifizierungscode eingeben" den erhaltenden Code eingeben und "Bestaetigen und aktivieren" anklicken.
4. Im Erfolgsfall erhält man die Meldung "MFA wurde erfolgreich aktiviert."
   

Email Methode für MFA verwenden

1. E-Mail-Adresse eingeben.
2. Bestätigungscode senden, als Verarbeitungsmeldung erhält man:
   
   Ein Code wurde an Ihre E-Mail-Adresse gesendet. Bitte geben Sie den Code ein.
3. Im Feld "Verifizierungscode eingeben" den erhaltenden Code eingeben und "Bestaetigen und aktivieren" anklicken.
4. Im Erfolgsfall erhält man die Meldung "MFA wurde erfolgreich aktiviert."
   

Passkey Methode für MFA verwenden

Passkeys sind eine weitere Methode der MFA als Alternative zum Code per SMS / Email.
Es können verschiedene Arten von Passkeys verwendet werden (USB-Schlüssel, Authenticator, 1Password und andere).
Hier im Beispiel erfassen wir einen YubiKey, andere Verfahren werden aber gleich erfasst.

-> Passkey registrieren

Vergeben Sie eine Bezeichnung, welche für Sie wieder erkennbar ist:

Danach wird der Windows-Sicherheit-Dialog Ihnen angezeigt, wählen Sie die gewünschte Option.
In unserem Beispiel verwenden wir einen USB-Passkey, deshalb wird da die Option "Sicherheitsschlüssel" angewählt:

Folgen Sie danach den Aufforderungen Ihres gewählten Passkeys, diese Schritte sind individuell...

Nach erfolgreichem Erstellen, erscheint die Meldung "Der Passkey wurde erfolgreich hinzugefügt. SIe können das Fenster jetzt schliessen.".
Schliessen Sie es, der Vorgang ist abgeschlossen.

Erfasste Passkeys erscheinen unter der MFA Verwaltung mit der vorher festgelegten Bezeichnung:

Mit MFA anmelden

Wenn mehrere MFA-Optionen konfiguriert wurden, erhält man als erstes folgendes Fenster um die Option zu wählen (ist nur eine Methode definiert, wird man direkt weitergeleitet):

Den erhaltenen Code muss man im folgenden Fenster eingeben:

Nach erfolgreichem Verifizierungsverfahren landet man im bekannten SORBA-Bootstrapper-Dialog.