Google Apps: code de vérification à 2 facteurs pour tout nouvel utilisateur?

Je suis l'administrateur d'un domaine Google Apps. J'ai créé un nouveau compte utilisateur. J'ai essayé de me connecter en tant qu'utilisateur (dans un nouveau navigateur) et il m'a indiqué que "la stratégie de votre organisation vous oblige à vous inscrire à la vérification en deux étapes. Veuillez contacter votre administrateur pour plus d'informations." Et puis me demande un code.

En outre, lorsque je regarde les informations de compte de cet utilisateur à partir du panneau d'administration du domaine, il est indiqué que 2FA est désactivé.

Clairement, lorsque j'essaie de me connecter en tant que cet utilisateur, il n'est pas désactivé car il demande un code. Il semble n'y avoir aucun moyen d'accéder à de nouveaux comptes car il nécessite des codes 2FA, mais vous ne pouvez pas obtenir de codes 2FA tant que vous n'êtes pas en mesure de vous connecter au compte utilisateur, de l'activer et de le configurer!

Désactiver temporairement le facteur 2 n'est pas une situation idéale. En fonction du nombre d'utilisateurs, vous pouvez le poursuivre pour le configurer afin de le réactiver. Après un moment, vous allez simplement le laisser.

Nous vous recommandons de créer une sous-organisation appelée "Pré-2 facteurs" et de déplacer le nouvel utilisateur dans la sous-organisation. Cette sous-organisation a désactivé l'exigence de 2 facteurs, MAIS elle a également désactivé tout le reste sauf Mail et Vault (si vous avez un coffre).

Une fois que l'utilisateur vous a informé qu'il a terminé l'inscription, vous pouvez le transférer dans l'organisation ou la sous-organisation habituelle.

Cela met la responsabilité sur l'utilisateur avec une incitation à le faire parce qu'ils ne peuvent accéder à autre chose que du courrier jusqu'à ce qu'ils soient inscrits et avertissent un administrateur.

Très facile à faire du point de vue administrateur.

Google a résolu ce problème maintenant. Vous pouvez maintenant accéder à Sécurité > Paramètres de base > Accéder aux paramètres avancés pour appliquer la vérification en deux étapes .

Cliquez ensuite sur Période d'inscription du nouvel utilisateur et définissez-le sur 1 jour . Cela permettra à un nouvel utilisateur de configurer un jour son 2FA avant qu’il ne soit verrouillé.

Immédiatement après la création d'un nouvel utilisateur, allez à l'onglet Sécurité de cet utilisateur et cliquez sur "Générer de nouveaux codes" pour générer une liste de codes à usage unique.

Donnez ensuite à l'utilisateur le ou les premiers codes de cette liste ainsi que l'URL https://accounts.google.com/b/0/SmsAuthSettings pour l'authentification par SMS (vérifiez-le, cela pourrait être différent pour vous) afin qu'ils puissent se connecter. une fois et configurer leur 2FA.

Il est également recommandé de leur demander de générer une nouvelle liste de codes d’authentification de sauvegarde, puisqu’ils en ont déjà utilisé un ou deux.

Il semble que vous ayez une authentification à 2 facteurs. Application activée pour le domaine:

Je pense que vous pourriez désactiver cette option pour que tous les utilisateurs ne soient pas obligés de disposer d'une authentification à 2 facteurs.

La meilleure réponse que je pourrais trouver si vous souhaitez laisser ce paramètre activé serait de configurer un groupe d'exceptions:

Demandez à tous les utilisateurs et administrateurs de s'inscrire à la vérification en deux étapes ou placez-les dans un groupe d'exceptions à l'aide de groupes d'exceptions avant d'appliquer le paramètre. Cela devrait être fait pour les nouveaux utilisateurs lors de la création du compte. Sinon, ils seront verrouillés dans Google Apps.

Vous trouverez plus de détails sur les groupes d’exceptions à l’ adresse suivante : http://support.google.com/a/bin/answer.py?hl=fr&answer=2548882.

Dito GAM peut désormais générer des codes de sauvegarde pour les utilisateurs même s'ils n'ont pas encore activé 2SV . Vous pouvez:

1. Créez le nouvel utilisateur.
2. Générez des codes de sauvegarde avec la commande "gam user [email protected] update backupcodes"
3. Communiquez un code de sauvegarde à l'utilisateur avec le mot de passe initial.
4. Demandez à l'utilisateur de se connecter à l' adresse : https://accounts.google.com/b/0/SmsAuthSettings et de s'inscrire à 2SV sous peine d'être bloqué après la première connexion.

https://code.google.com/p/google-apps-manager/wiki/SecurityExamples#Generate_New_Backup_Codes_For_Users