Migrer fra Auth0 til FoxIDs

Flyt Auth0 login til FoxIDs med den migreringsmetode, der passer til hver forbindelse. Importér databasebrugere med bcrypt adgangskodehashes, eller lad dem vælge en ny adgangskode. Importér brugere uden adgangskode, og aktivér engangskoder. Ved login gennem sociale tjenester og virksomheders identitetsudbydere konfigureres FoxIDs autentificeringsmetoder, som har tillid til de eksterne identitetsudbydere.

Denne tekniske guide dækker applikationskonfiguration, brugerimport og kontotilknytning for Auth0 databaseforbindelser, login uden adgangskode via e-mail/SMS samt forbindelser til sociale tjenester og virksomheders identitetsudbydere.

For databasebrugere og brugere uden adgangskode konverteres den gennemgåede Auth0 eksport til en CSV-fil, hvorefter FoxIDs Seed Tool bruges til at masseindlæse brugerne i FoxIDs. CSV-eksemplerne nedenfor viser felterne for hver migreringsmetode.

Vælg en metode for hver gruppe, før importen forberedes:

Importerede brugere med og uden adgangskode autentificeres lokalt i FoxIDs. Brugere af sociale tjenester og virksomheders identitetsudbydere autentificeres hos den tilsluttede identitetsudbyder.

Forbered målmiljøet og applikationen

Et dedikeret testmiljø gør det muligt at afprøve migreringen med en lille gruppe brugere før overgangen til produktion. Konfigurationen omfatter:

1. Hvis du ønsker et brugerdefineret domæne, skal det konfigureres og verificeres på tenanten, før applikationer og eksterne identitetsudbydere konfigureres. Brug de resulterende FoxIDs URL'er gennem hele migreringen. Ændres domænet senere, kræver det opdatering af eksterne konfigurationer, herunder applikationernes authority- eller metadata-URL'er og udbydernes callback- og logout-URL'er.
2. Hvert miljø har en standard Login autentificeringsmetode med navnet login. Tilpas dens branding og login-UI til det ønskede udseende, og justér dens loginindstillinger til de importerede brugere.
3. Opret de autentificeringsmetoder, som forbinder brugere af sociale tjenester og virksomheders identitetsudbydere med deres eksterne udbydere, som beskrevet i det relevante migreringsafsnit nedenfor.
4. Konfigurér applikationen, dens tilladte redirect-URL'er og logoutadfærd samt de API'er, der accepterer dens adgangstokens.

FoxIDs Cloud tilbyder levering af e-mail og SMS til oprettelse af adgangskoder, login uden adgangskode og multifaktorgodkendelse (MFA), afhængigt af den valgte FoxIDs Cloud plan.

Konfigurér de nødvendige MFA-indstillinger, og hvordan brugerne tilmelder sig; de beskrevne importer overfører ikke Auth0 MFA-registreringer. For konti med adgangskode gennemgås krav til længde, kompleksitet og udløb: ved import af en hash kontrolleres adgangskodepolitikken ikke under importen, men den valgte politik gælder, når brugeren logger ind.

Applikationskonfiguration er et særskilt arbejde ved siden af brugerimport. Gennemgå issuer, audience, scopes, claims og tokenvalidering samt afhængigheder af Auth0 SDK, Actions, organisationsmedlemskab og rolletildelinger. Implementér den adfærd, applikationen kræver. Den generelle migreringsguide dækker den samlede applikationsoversigt og udrulningens trin.

Eksportér en afgrænset gruppe Auth0 brugere

Følg Auth0s vejledning til masseeksport af brugere. Vælg kildeforbindelsen eksplicit med connection_id; en API-eksport uden dette felt omfatter alle forbindelser. Hold databasebrugere, brugere uden adgangskode og fødererede brugere adskilt under konverteringen.

Brug en JSON-kompatibel eksport (NDJSON) som udgangspunkt for konverteringen. Auth0 CSV-eksporter indeholder ekstra escaping og kan derfor ikke bruges direkte som input til FoxIDs Seed Tool. En lille eksport kan bruges til at afprøve konverteringen til Seed Tool CSV-formatet.

Medtag user_id, blocked samt de identifikatorer og den verificeringsstatus, hver forbindelse bruger: email og email_verified, eller phone_number og phone_verified for SMS-brugere. For sociale konti, virksomhedskonti og sammenkædede konti bevares udbyder, forbindelse og bruger-ID fra identities til kontotilknytningen. Eksportér kun de brugerdata, der er behov for efter migreringen, og gem kildetenant og forbindelse sammen med eksporten. Se Auth0 user profile-skemaet, når felterne vælges.

Hent adgangskodehashes, når adgangskoder skal bevares

Anmod Auth0 Support om eksport af adgangskodehashes. Denne eksport er adskilt fra eksporten af brugerdata. Auth0s guide til eksport af adgangskodehashes beskriver NDJSON-posterne og feltet passwordHash. Eksemplet $2b$10$... angiver bcrypt varianten 2b og cost 10.

Match hver hash med den korrekte bruger ud fra kildetenant, databaseforbindelse og bruger-ID.

Tilknyt brugerdata og bevar applikationskonti

FoxIDs opretter sit eget permanente bruger-ID for importerede lokale brugere. Import af et Auth0 user_id som en brugerdefineret claim gør det ikke til FoxIDs bruger-ID'et og bevarer ikke automatisk applikationens sub claim. Ved login gennem sociale tjenester og virksomheders identitetsudbydere kontrolleres den identitet, der modtages direkte fra udbyderen, og det subject, FoxIDs udsteder til applikationen.

For at bevare Auth0 bruger-ID'et som applikationens sub importeres det som en brugerdefineret claim, f.eks. legacy_auth0_user_id. På Login autentificeringsmetoden konfigureres en Map claim-transformation med handlingen Replace claim, input-claim legacy_auth0_user_id og output-claim sub. Applikationen modtager derefter Auth0 bruger-ID'et som sub, mens brugerens permanente FoxIDs ID er uændret.

Vedligehold en tilknytning mellem kildeidentiteten, den nye FoxIDs identitet og den eksisterende applikationskonto. Den gamle Auth0 identitet og den nye FoxIDs identitet skal eksempelvis begge pege på samme kundepost under overgangen, frem for at oprette to kundeposter. Kontrollér det faktiske subject, der udstedes til hver applikation, og opdatér kontotilknytningen efter behov. Sammenkæd ikke konti alene, fordi deres e-mailadresser er ens.

Brug følgende tilknytning ved import af lokale brugere:

Migrer login via sociale tjenester og virksomheders identitetsudbydere

Opret en FoxIDs autentificeringsmetode for hver forbindelse til en social tjeneste eller en virksomheds identitetsudbyder, så der etableres tillid direkte til den eksterne identitetsudbyder. Brugerne beholder deres konti og legitimationsoplysninger hos udbyderen.

1. Identificér udbyderen og konfigurationen bag hver Auth0 forbindelse. Brug den relevante integrationsguide til udbyderen, f.eks. Google, Facebook eller Microsoft Entra ID, og vælg den understøttede OpenID Connect, SAML 2.0 eller WS-Federation autentificeringsmetode.
2. Registrér eller konfigurér FoxIDs hos udbyderen. Udveksl klientindstillinger eller føderationsmetadata, og konfigurér de callback- og logout-URL'er, som integrationsguiden angiver. Bevar Auth0 konfigurationen under overgangen.
3. Tillad den nye autentificeringsmetode på FoxIDs applikationen. Konfigurér Home Realm Discovery, så brugerne kan vælge deres udbyder eller ledes til den af de konfigurerede regler.
4. Afstem udbyderidentiteten med den eksisterende applikationskonto. Identifikatorerne fra et testlogin kan sammenlignes med kildekontoen; et Auth0 bruger-ID er ikke nødvendigvis den identifikator, der returneres direkte til FoxIDs. Hvis du har brug for at gemme brugerspecifikke claims eller adgangstildelinger i FoxIDs, konfigureres og provisioneres eksterne brugere.
5. Genskab de begrænsninger, Auth0 tidligere håndhævede, herunder blokerede brugere og organisationsadgang.

Det forventede flow er applikation → FoxIDs → ekstern identitetsudbyder → FoxIDs → applikation. FoxIDs udsteder applikationens tokens, efter at udbyderen har autentificeret brugeren.

Du kan afprøve hver forbindelse ved at starte login fra applikationen, vælge udbyderen og gennemføre dens loginflow. Det gør det muligt at se MFA, applikationskonto og rettigheder samt logoutadfærd.

Migrer brugere uden adgangskode

Importér brugere fra Auth0s forbindelser til login uden adgangskode via e-mail eller SMS som interne FoxIDs brugere uden adgangskoder. Konfigurér login uden adgangskode, så de fortsat logger ind med en engangskode. Brugere, der tidligere modtog et Auth0 magic link, indtaster i stedet en engangskode på den loginside, de allerede har åbnet. Dermed undgår man at bede brugerne følge loginlinks i e-mails eller SMS-beskeder.

1. Aktivér e-mail eller telefon som loginidentifikator på FoxIDs Login autentificeringsmetoden, og aktivér Passwordless with email (one-time password) eller Passwordless with SMS (one-time password) efter behov.
2. På en loginmetode, der kun er beregnet til brugere uden adgangskode, vælges Disable password authentication, og oprettelse/nulstilling af adgangskode via e-mail og SMS deaktiveres. Det holder loginflowet fokuseret på engangskoder.
3. Importér brugerne uden Password og uden adgangskodehashfelter. Lad SetPasswordEmail, SetPasswordSms og ChangePassword være false, så brugerne ikke skal vælge en adgangskode. Bevar verificeringsstatus, deaktiveringsstatus og nødvendige claims.

Du kan afprøve login uden adgangskode ved at starte login med en importeret testbrugers e-mailadresse eller telefonnummer og indtaste den modtagne kode. En gyldig kode lader en aktiveret bruger fortsætte gennem eventuel påkrævet MFA til applikationen; ugyldige eller udløbne koder og deaktiverede konti giver ikke adgang.

Denne Seed Tool CSV importerer eksempelvis en fiktiv bruger, der logger ind via e-mail uden adgangskode:

Email;EmailVerified;SetPasswordEmail;SetPasswordSms;ChangePassword;DisableAccount
alice@example.com;true;false;false;false;false

For SMS-brugere erstattes Email og EmailVerified med Phone og PhoneVerified med det gennemgåede telefonnummer og den kendte verificeringsstatus. Samme uploadprocedure gælder. Brugeren er fortsat uden adgangskode efter et vellykket login uden adgangskode.

Importér brugere med bcrypt adgangskodehashes

FoxIDs accepterer komplette bcrypt strenge med præfikserne $2a$, $2b$ eller $2y$ og cost fra 4 til 16. For brugere, hvis hashes ligger uden for det understøttede format, bruges oprettelse af adgangskode via e-mail.

Aktivér e-maillogin og autentificering med adgangskode på FoxIDs Login autentificeringsmetoden for disse brugere.

Kopiér hver matchet Auth0 passwordHash værdi til CSV-kolonnen PasswordHash, og sæt PasswordHashAlgorithm til bcrypt. Bevar hele hashstrengen med variant, cost og indlejret salt. Den er allerede kodet til bcrypt. Se formater for adgangskodehashes og Control API-kontrakten for import af adgangskoder.

Brug følgende kolonner til Seed Tool. Dette er en syntetisk testkonto; erstat den med din gennemgåede eksport:

Email;EmailVerified;PasswordHashAlgorithm;PasswordHash;SetPasswordEmail;ChangePassword;DisableAccount
alice@example.com;true;bcrypt;$2b$10$..CA.uOD/eaGAOmJB.yMBu3YunYvFEoaS5IJZ/wiqfQ/EWx.HaqjC;false;false;false

Udelad Password og PasswordHashSalt. Lad SetPasswordEmail, SetPasswordSms og ChangePassword være false, når brugeren skal fortsætte med sin eksisterende adgangskode. Bevar deaktiveringsstatus, verificeringsstatus, claims og MFA-krav fra den gennemgåede tilknytning. Medtag PasswordLastChanged, når du kender det oprindelige ændringstidspunkt, i Unix-sekunder; ellers registrerer FoxIDs importtidspunktet til kontrol af adgangskodens alder.

Samme uploadprocedure gælder for alle importer af lokale brugere. Masseprovisionering kan erstatte en eksisterende konto og dens legitimationsoplysninger uanset det valgte adgangskodeformat.

Med en importeret testbruger kan du prøve at logge ind med den oprindelige adgangskode og gentage forsøget med en forkert adgangskode. Den oprindelige adgangskode autentificerer brugeren under de konfigurerede krav til adgangskodepolitik og MFA; en forkert adgangskode eller en deaktiveret konto giver ikke adgang. Ændring og gendannelse af adgangskoden kan også afprøves gennem den konfigurerede Login UI.

Den importerede hash forbliver bcrypt efter login. En adgangskode, der oprettes eller ændres i FoxIDs, gemmes i FoxIDs' standardformat PBKDF2. Adgangskodehistorikken forhindrer fortsat genbrug efter den valgte politik, også når en gammel bcrypt hash bevares efter en nulstilling af adgangskoden.

Importér brugere til oprettelse af adgangskode

Brug denne metode for konti, der skal vælge en ny adgangskode, frem for at importere en hash. Aktivér e-maillogin, autentificering med adgangskode og oprettelse af adgangskode via e-mail på FoxIDs Login autentificeringsmetoden. For brugere, der skal fortsætte uden adgangskode, følges Migrer brugere uden adgangskode.

Brugerimporten klargør kontiene. Adgangskoden oprettes, når hver bruger starter et login, ikke under importen.

Konvertér de gennemgåede poster til en UTF-8-fil til FoxIDs Seed Tool. Kolonneoverskrifter skelner mellem store og små bogstaver, og separatoren er semikolon. Eksemplet indeholder fiktive brugere med tidligere verificerede e-mailadresser; den anden konto forbliver deaktiveret:

Email;EmailVerified;SetPasswordEmail;DisableAccount;RequireMultiFactor;Claims
alice@example.com;true;true;false;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-001""]}]"
blocked@example.com;true;true;true;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-002""]}]"

SetPasswordEmail=true vælger oprettelse af adgangskode med e-mailbekræftelse. Udelad Password og alle adgangskodehashkolonner. Dette flow kræver hverken en midlertidig fælles adgangskode eller ChangePassword. RequireMultiFactor=true er eksemplets valgte politik og kræver, at de tilsvarende MFA-metoder er konfigureret.

Udsted kun eksemplets legacy_auth0_user_id claim til applikationer, der har brug for den, gennem deres konfigurerede claim-håndtering.

Upload brugere og gennemgå resultatet

Brug denne uploadprocedure til brugere med bcrypt hashes, brugere uden adgangskode og brugere, der skal vælge en adgangskode ved første login, med de felter, der passer til den valgte metode.

Seed Tool opdeler felter ved semikolon; felter i anførselstegn kan ikke indeholde semikolon eller linjeskift. Brug Control API-operationerne til brugere, hvis dine værdier kræver et mere fleksibelt importformat.

1. Download og konfigurér Seed Tool til det ønskede miljø. Sæt SeedSettings.UsersSvcPath til den konverterede CSV-fil.
2. Kør Seed Tool, og vælg U for at masseuploade brugerne.
3. Registrér de nye bruger-ID'er i din migreringsoversigt.

Du kan afprøve uploaden med en CSV-fil med få brugere i et testmiljø. Seed Tool viser antallet af vellykkede og mislykkede importer. De importerede brugere kan gennemgås i FoxIDs Control, hvor du kan se deres identifikatorer, deaktiveringsstatus, claims og flag til oprettelse af adgangskode.

Seed Tool bruger masseprovisionering, som kan erstatte eksisterende brugere frem for at flette dem sikkert. Kontrollér sammenfald før upload. Kør ikke hele filen igen, efter at brugere har oprettet adgangskoder eller fået adgang: erstatning kan fjerne legitimationsoplysninger og tilstand samt oprette nye bruger-ID'er. Afstem en delvist gennemført import, før den forsøges igen; håndtér senere ændringer med gennemgåede, målrettede brugeropdateringer.

Oprettelse af adgangskode ved første login

For en aktiveret, importeret bruger med SetPasswordEmail=true er det forventede flow:

1. Brugeren åbner applikationen og starter login gennem FoxIDs Login.
2. FoxIDs identificerer brugeren ud fra e-mailadressen og sender en bekræftelseskode.
3. Brugeren indsender koden og en ny adgangskode, der opfylder FoxIDs adgangskodepolitikken.
4. FoxIDs verificerer e-mailadressen, gemmer adgangskoden og nulstiller flagene for oprettelse af adgangskode. Login fortsætter gennem eventuelle påkrævede MFA-trin, før brugeren vender tilbage til applikationen.

Import af en bruger sender ikke e-mailen til oprettelse af adgangskode. Efterfølgende login med adgangskode bruger den nye FoxIDs adgangskode frem for den tidligere Auth0 adgangskode. Hvis en bruger ikke kan modtage koden, anvendes en godkendt gendannelsesproces, der verificerer identiteten.

Du kan undersøge flowet med en testbruger ved at følge logintrinene ovenfor. Disse scenarier viser de forventede resultater:

Rul ud og bevar mulighed for rollback

Migreringen kan udrulles pr. applikation eller brugergruppe. Brugerne kan fortsætte via deres sædvanlige applikations-URL med det konfigurerede loginflow: deres eksisterende adgangskode, oprettelse af adgangskode, en engangskode eller deres eksisterende eksterne identitetsudbyder.

Før hver produktionsimport afstemmes brugere, der er oprettet, ændret, blokeret eller slettet siden eksporten. Fastlæg en kort periode uden ændringer eller en anden kontrolleret afstemningsproces. Overskriv ikke allerede migrerede brugere for at anvende disse ændringer.

Overvåg levering af e-mail og SMS, fejl ved oprettelse af adgangskode, loginfejl og problemer med kontotilknytning. Ved hashimport tages højde for ændringer af adgangskoder i Auth0 efter eksporten, så brugerne ikke møder en adgangskode, der afviger fra den importerede hash. Rollback afhænger af, at den tidligere Auth0 konfiguration fortsat er tilgængelig. Du kan afprøve gendannelse af konfigurationen for en testapplikation og se, hvordan login vender tilbage til Auth0.

En adgangskode oprettet i FoxIDs synkroniseres ikke tilbage til Auth0. Rollback bruger derfor de legitimationsoplysninger, der stadig findes i Auth0. Fastlæg, hvordan brugere, der kun er oprettet i FoxIDs, får adgang via Auth0, hvis rollback bliver nødvendigt. Ved login uden adgangskode og fødereret login bevares de Auth0 leveringsindstillinger og udbyderforbindelser, der kræves for at gendanne det tidligere flow. Udfas først den gamle integration, og fjern gemte eksportfiler, når kontoadgang og driftsunderstøttelse er accepteret.

Relateret dokumentation

• Oversigt over migrering
• Upload mange brugere
• Control API-operationer til brugere
• Login og Home Realm Discovery
• E-mailudbyder
• Applikationer