Réinitialiser l’authentificateur d’un utilisateur
Objectif
Permettre à un collègue de se reconnecter lorsque son application d’authentification n’est plus disponible — un téléphone perdu ou remplacé, une application désinstallée, des codes de récupération jamais enregistrés — sans toucher à son mot de passe.
Avant de commencer
Vous avez besoin du rôle PlatformAdmin, et vous devez vous être connecté récemment avec votre propre code d’authentification. C’est la seule action qui ouvre une porte dans le compte de quelqu’un d’autre ; la plateforme demande donc à l’administrateur de prouver que c’est bien lui : dans les quelques minutes qui suivent une connexion avec un code, cela fonctionne directement ; au-delà, reconnectez-vous et revenez.
Étapes
- Ouvrez Centre de contrôle d’administration → Utilisateurs. La colonne Authentificateur indique Activé pour toute personne ayant enregistré une application, et Non configuré sinon.
- Sélectionnez la personne — une seule ligne. Réinitialiser l’authentificateur n’est activé que pour une personne dont la colonne indique Activé : sinon, il n’y a rien à réinitialiser.
- Appuyez sur Réinitialiser l’authentificateur, lisez la confirmation et confirmez.
- Demandez-lui de se reconnecter avec son mot de passe. Au lieu d’une demande de code, elle obtient l’écran de configuration de l’authentificateur, exactement comme le premier jour.
Ce qui se passe
- Son ancienne entrée dans l’application cesse de fonctionner, de même que ses anciens codes de récupération — la réinitialisation repart d’un nouveau secret que l’ancien appareil n’a jamais vu.
- Toutes ses sessions et tous ses jetons d’actualisation sont déconnectés.
- Rien ne change pour son mot de passe.
- La réinitialisation est inscrite dans le journal de la plateforme, avec votre compte en regard.
Quand ne pas le faire
- « Je n’ai pas mon téléphone aujourd’hui. » C’est à cela que servent les codes de récupération ; une réinitialisation jette un enregistrement qui fonctionne. Si la personne n’a pas non plus ses codes, c’est la seule solution — mais dites-le.
- Pour vous épargner un code. Vous pouvez réinitialiser votre propre authentificateur ici, et c’est la façon honnête de passer à un nouveau téléphone — mais vous devrez vous réinscrire immédiatement après.
Dépannage
« Prouvez que c’est bien vous » (mfa.step_up.required). Votre propre connexion remonte à trop
longtemps. Déconnectez-vous, reconnectez-vous avec votre code, et recommencez.
Le bouton est désactivé. Soit plusieurs lignes sont sélectionnées, soit la personne n’a pas d’authentificateur à réinitialiser — vérifiez la colonne Authentificateur.