Migrer Active Directory brugere til FoxIDs
Flyt Active Directory (AD) brugere og applikationslogin til FoxIDs, mens AD beholdes som brugerkatalog, flyt gradvist adgangskodevalideringen til FoxIDs, eller importér brugere, og lad dem vælge en ny adgangskode.
Denne tekniske guide dækker brugere i Active Directory Domain Services (AD DS), deres adgangskoder og applikationskonti. Guiden til Directory Connector til Active Directory beskriver installation og konfiguration.
| Fremgangsmåde | Håndtering af adgangskoder | Brugeradministration |
|---|---|---|
| Behold AD som katalog | FoxIDs validerer brugerens adgangskode mod AD gennem Directory Connector. | AD er fortsat den autoritative kilde til brugere og de attributter, connectoren returnerer. |
| Migrer adgangskoder gradvist | FoxIDs gemmer en lokal adgangskodehash efter vellykket validering af adgangskoden mod AD. Lokal validering overtager, når connectoren deaktiveres. | Brugere oprettes gennem connectoren og administreres senere i FoxIDs. |
| Importér brugere til oprettelse af adgangskode | Brugerne vælger en ny FoxIDs adgangskode med en e-mailkode ved første login. | Brugere importeres fra CSV med FoxIDs Seed Tool og administreres i FoxIDs. |
Forbered målmiljøet og applikationerne
Et dedikeret testmiljø gør det muligt at afprøve den valgte fremgangsmåde med en lille gruppe brugere og en applikation før overgangen til produktion.
- Hvis du ønsker et brugerdefineret domæne, skal det konfigureres, før applikationer eller eksterne identitetsudbydere tilsluttes. Ændres domænet senere, kræver det opdatering af de eksterne konfigurationer, der bruger FoxIDs URL'er.
- Hvert miljø har en standard Login autentificeringsmetode med navnet
login. Tilpas dens branding og login-UI, og aktivér de nødvendige loginidentifikatorer, eksempelvis e-mail eller brugernavn. - Registrér applikationerne i FoxIDs, og konfigurér deres redirect-URL'er, logoutadfærd og nødvendige claims. Protokolbro understøtter applikationer med forskellige protokoller under overgangen.
FoxIDs kan anvende multifaktorgodkendelse på brugere, der logger ind gennem Login, herunder brugere, hvis adgangskoder valideres mod AD. FoxIDs Cloud tilbyder levering af e-mail og SMS afhængigt af den valgte FoxIDs Cloud plan.
Behold AD som katalog
Installér Directory Connector til Active Directory på en Windows/IIS-server, der kan nå domænecontrollerne. FoxIDs kommunikerer med connectoren over HTTPS. Konfigurér dens brugeropslag i AD, returnerede attributter og eventuelle gruppeclaims, som applikationerne bruger.
Aktivér connectoren under Settings > Environment > Directory connector settings med dens API-URL og secret. Aktivér adgangskodeautentificering og de identifikatorer, connectoren returnerer, på Login autentificeringsmetoden. Deaktivér brugeroprettelse på Login; nye brugere oprettes i AD og klargøres i FoxIDs gennem connectoren.
Når en bruger indtaster sin identifikator, henter FoxIDs den aktuelle AD-konto og opretter eller opdaterer den interne FoxIDs bruger. Connectoren bruger AD's objectGUID til at bevare kontotilknytningen, når loginidentifikatorer ændres. Adgangskodeautentificering validerer den indtastede adgangskode mod AD. Denne fremgangsmåde kræver ikke CSV-import.
AD administrerer fortsat adgangskoder og de brugerdata, connectoren returnerer. FoxIDs kan beholde forbindelsen som en permanent integration. Den valgfrie lokale adgangskodekopi understøtter en senere migrering; den bruges ikke til autentificering, mens connectoren er aktiveret.
Migrer adgangskoder gradvist
Start med connectorkonfigurationen ovenfor, og behold Save local password aktiveret, hvilket er standardindstillingen. Overgangen fungerer sådan:
- Brugerne logger ind gennem FoxIDs Login med deres eksisterende AD-adgangskoder.
- Efter vellykket adgangskodevalidering gemmer FoxIDs en lokal adgangskodehash på den samme interne bruger. Ændringer og nulstillinger af adgangskoder gennemført i FoxIDs opdaterer også den lokale hash.
- Deaktivér Directory Connector i miljøindstillingerne for at skifte til lokal adgangskodevalidering i FoxIDs. De eksisterende FoxIDs brugere og deres gemte adgangskoder er fortsat tilgængelige.
Directory Connector konfigureres for hele miljøet, så deaktivering skifter miljøet til lokal validering. Efter skiftet administreres brugere, adgangskoder og adgangsændringer i FoxIDs; ændringer i AD opdaterer ikke længere disse brugere gennem connectoren.
Den lokale adgangskodekopi afspejler den seneste vellykkede validering, ændring eller nulstilling af adgangskoden gennem FoxIDs. En senere adgangskodeændring foretaget alene i AD bliver tilgængelig lokalt, når brugeren næste gang autentificerer sig med den adgangskode gennem FoxIDs.
Brugere, der endnu ikke er oprettet, kan importeres med CSV-fremgangsmåden nedenfor. Eksisterende brugere uden en lokal adgangskodekopi kan bruge Glemt din adgangskode? efter skiftet, når nulstilling via e-mail eller SMS er aktiveret på Login autentificeringsmetoden. Gendannelsen bruger deres eksisterende FoxIDs konti.
Du kan afprøve overgangen i et testmiljø ved at logge ind med en AD-bruger, deaktivere connectoren og starte et nyt login med adgangskode. Den samme adgangskode autentificerer derefter lokalt. En bruger uden en gemt adgangskode kan i stedet gennemføre det konfigurerede forløb til oprettelse eller gendannelse af adgangskoden.
Importér brugere til oprettelse af adgangskode
Ved en direkte overgang til lokale FoxIDs brugere hentes de valgte AD-brugere, og deres attributter konverteres til Seed Tools CSV-format. Microsofts Get-ADUser understøtter valg af brugere med et filter eller en søgebase samt hentning af de nødvendige attributter.
Map de data, applikationen har brug for:
| Oplysninger fra AD | Import til FoxIDs |
|---|---|
E-mailadresse, normalt mail |
Email. |
Valgt loginnavn, eksempelvis sAMAccountName eller userPrincipalName |
Username, når login med brugernavn er nødvendigt. |
| Deaktiveret eller udløbet konto | DisableAccount=true, hvis kontoen medtages i importen. |
| Fornavn, efternavn og andre applikationsattributter | De tilsvarende poster i Claims. |
| Gruppemedlemskab | De roller eller adgangstildelinger, applikationen kræver. |
Bevar AD's objectGUID og tilknytningen til den eksisterende applikationskonto i migreringens mapping. Sæt EmailVerified ud fra den kendte verificeringstilstand; en e-mailattribut i AD fastslår ikke i sig selv denne tilstand.
Aktivér e-maillogin, adgangskodeautentificering og oprettelse af adgangskode via e-mail på Login autentificeringsmetoden. Gem CSV-filen som UTF-8 med headers, hvor der skelnes mellem store og små bogstaver, og semikolon som separator. Dette eksempel importerer en fiktiv bruger uden en adgangskode:
Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false
Konfigurér FoxIDs Seed Tool, sæt SeedSettings.UsersSvcPath til CSV-filen, og vælg U for at uploade brugerne. Værktøjet masseindlæser brugerne i det konfigurerede FoxIDs miljø gennem Control API.
Ved første login modtager brugeren en e-mailkode, indtaster den på loginsiden og vælger en ny adgangskode. Adgangskoden oprettes under login; upload af CSV-filen opretter kun kontiene. Den nye adgangskode administreres i FoxIDs uafhængigt af AD.
Bevar applikationskonti
FoxIDs opretter sit eget permanente bruger-ID til både brugere oprettet gennem connectoren og brugere importeret fra CSV. Tilknytningen til AD-kataloget gør ikke automatisk applikationens eksisterende identifikator til dens FoxIDs sub eller SAML NameID.
Bevar tilknytningen mellem AD-brugeren og den eksisterende applikationskonto. Når en applikation forventer en eksisterende subject-værdi, gøres værdien tilgængelig som en brugerclaim, og der konfigureres en claim transform på Login autentificeringsmetoden, som danner den nødvendige sub. For applikationer med SAML konfigureres det nødvendige NameID og format på applikationsregistreringen til SAML. Applikationer, der identificerer konti med issuer og subject, skal også knytte FoxIDs issuer til de eksisterende konti.
Når connectoren er deaktiveret, vedligeholdes ændringer af grupper og attributter, der bruges til applikationsadgang, i FoxIDs eller applikationen. Et testlogin gør det muligt at se den resulterende subject-værdi, roller og kontotilknytning.
Flyt applikationer fra AD FS
Hvis applikationerne i dag bruger AD FS, kan FoxIDs forbinde til AD FS med SAML 2.0, mens applikationerne flyttes til FoxIDs. AD FS forbliver identitetsudbyder i denne fase.
Applikationerne kan senere bruge FoxIDs Login med Directory Connector til autentificering direkte mod AD eller bruge lokale FoxIDs brugere efter migreringen. AD kan fortsætte som katalog, når AD FS fjernes fra applikationernes loginforløb.
Et login gennem AD FS giver ikke FoxIDs brugerens adgangskode. Gradvis migrering af adgangskoder sker derfor, når brugerne logger ind gennem FoxIDs Login og Directory Connector. Bevar applikationens kontotilknytning ved skift mellem disse autentificeringsmetoder.