Benutzer aus Active Directory zu FoxIDs migrieren

Verlagern Sie Benutzer aus Active Directory (AD) und Anmeldungen an Anwendungen zu FoxIDs und behalten Sie AD als Benutzerverzeichnis bei, verlagern Sie die Passwortprüfung schrittweise zu FoxIDs oder importieren Sie Benutzer und lassen Sie sie ein neues Passwort festlegen.

Dieser technische Leitfaden behandelt Benutzer in Active Directory Domain Services (AD DS), ihre Passwörter und Anwendungskonten. Der Leitfaden zu Directory Connector für Active Directory beschreibt Installation und Konfiguration.

Vorgehensweise	Passwortverwaltung	Benutzerverwaltung
AD als Verzeichnis beibehalten	FoxIDs prüft das Passwort des Benutzers über Directory Connector gegen AD.	AD bleibt die maßgebliche Quelle für Benutzer und die vom Connector zurückgegebenen Attribute.
Passwörter schrittweise migrieren	FoxIDs speichert nach erfolgreicher Passwortprüfung gegen AD einen lokalen Passwort-Hash. Nach Deaktivierung des Connectors übernimmt die lokale Prüfung.	Benutzer werden über den Connector bereitgestellt und später in FoxIDs verwaltet.
Benutzer zur Passwortvergabe importieren	Benutzer legen bei der ersten Anmeldung mithilfe eines E-Mail-Codes ein neues Passwort in FoxIDs fest.	Benutzer werden mit FoxIDs Seed Tool aus CSV importiert und in FoxIDs verwaltet.

Zielumgebung und Anwendungen vorbereiten

In einer eigenen Testumgebung können Sie die gewählte Vorgehensweise mit einer kleinen Benutzergruppe und einer Anwendung vor dem Wechsel in die Produktion ausprobieren.

Wenn Sie eine benutzerdefinierte Domain verwenden möchten, konfigurieren Sie diese vor dem Anbinden von Anwendungen oder externen Identitätsanbietern. Eine spätere Änderung der Domain erfordert die Aktualisierung externer Konfigurationen, die FoxIDs URLs verwenden.
Jede Umgebung verfügt über eine standardmäßige Authentifizierungsmethode Login namens login. Passen Sie deren Branding und Anmeldeoberfläche an und aktivieren Sie die erforderlichen Anmeldekennungen, etwa E-Mail-Adresse oder Benutzername.
Registrieren Sie die Anwendungen in FoxIDs und konfigurieren Sie deren Umleitungs-URLs, Abmeldeverhalten und erforderliche Claims. Protokollüberbrückung unterstützt Anwendungen mit unterschiedlichen Protokollen während des Übergangs.

FoxIDs kann Multi-Faktor-Authentifizierung für Benutzer anwenden, die sich über Login anmelden, einschließlich Benutzern, deren Passwörter gegen AD geprüft werden. FoxIDs Cloud bietet den Versand von E-Mails und SMS abhängig vom gewählten FoxIDs Cloud Tarif.

AD als Verzeichnis beibehalten

Installieren Sie Directory Connector für Active Directory auf einem Windows/IIS-Server, der die Domänencontroller erreichen kann. FoxIDs kommuniziert über HTTPS mit dem Connector. Konfigurieren Sie dessen AD-Benutzersuche, zurückgegebene Attribute und gegebenenfalls von den Anwendungen verwendete Gruppen-Claims.

Aktivieren Sie den Connector unter Settings > Environment > Directory connector settings mit seiner API-URL und seinem Geheimnis. Aktivieren Sie in der Authentifizierungsmethode Login die Passwortauthentifizierung und die vom Connector zurückgegebenen Kennungen. Deaktivieren Sie die Benutzerregistrierung in Login; neue Benutzer werden in AD erstellt und über den Connector in FoxIDs bereitgestellt.

Wenn ein Benutzer seine Kennung eingibt, ruft FoxIDs sein aktuelles AD-Konto ab und erstellt oder aktualisiert den internen Benutzer in FoxIDs. Der Connector verwendet den AD-Wert objectGUID, um die Kontoverknüpfung bei geänderten Anmeldekennungen beizubehalten. Die Passwortauthentifizierung prüft das eingegebene Passwort gegen AD. Ein CSV-Import ist bei dieser Vorgehensweise nicht erforderlich.

AD verwaltet weiterhin die Passwörter und die vom Connector zurückgegebenen Benutzerdaten. FoxIDs kann diese Verbindung als dauerhafte Integration beibehalten. Die optionale lokale Passwortkopie unterstützt eine spätere Migration; sie wird bei aktiviertem Connector nicht zur Authentifizierung verwendet.

Passwörter schrittweise migrieren

Beginnen Sie mit der oben beschriebenen Connector-Konfiguration und lassen Sie Save local password aktiviert, wie es standardmäßig eingestellt ist. Der Übergang funktioniert wie folgt:

Benutzer melden sich über FoxIDs Login mit ihren vorhandenen AD-Passwörtern an.
Nach erfolgreicher Passwortprüfung speichert FoxIDs einen lokalen Passwort-Hash beim selben internen Benutzer. Über FoxIDs abgeschlossene Passwortänderungen und -zurücksetzungen aktualisieren ebenfalls den lokalen Hash.
Deaktivieren Sie Directory Connector in den Umgebungseinstellungen, um zur lokalen Passwortprüfung in FoxIDs zu wechseln. Die vorhandenen Benutzer in FoxIDs und ihre gespeicherten Passwörter bleiben verfügbar.

Directory Connector wird für die gesamte Umgebung konfiguriert. Seine Deaktivierung stellt daher die Umgebung auf lokale Prüfung um. Nach dem Wechsel werden Benutzer, Passwörter und Zugriffsänderungen in FoxIDs verwaltet; Änderungen in AD aktualisieren diese Benutzer nicht mehr über den Connector.

Die lokale Passwortkopie entspricht der letzten erfolgreichen Passwortprüfung, -änderung oder -zurücksetzung über FoxIDs. Eine spätere, ausschließlich in AD vorgenommene Passwortänderung wird lokal verfügbar, sobald sich der Benutzer das nächste Mal mit diesem Passwort über FoxIDs authentifiziert.

Noch nicht bereitgestellte Benutzer können mit dem nachfolgend beschriebenen CSV-Verfahren importiert werden. Bestehende Benutzer ohne lokale Passwortkopie können nach dem Wechsel Passwort vergessen? verwenden, wenn die Passwortzurücksetzung per E-Mail oder SMS in der Authentifizierungsmethode Login aktiviert ist. Die Wiederherstellung verwendet ihre vorhandenen Konten in FoxIDs.

Sie können den Übergang in einer Testumgebung ausprobieren: Melden Sie sich mit einem AD-Benutzer an, deaktivieren Sie den Connector und starten Sie eine neue Passwortanmeldung. Dasselbe Passwort wird anschließend lokal geprüft. Ein Benutzer ohne gespeichertes Passwort kann stattdessen den konfigurierten Ablauf zur Passwortvergabe oder -wiederherstellung durchlaufen.

Benutzer zur Passwortvergabe importieren

Für einen direkten Wechsel zu lokalen Benutzern in FoxIDs rufen Sie die ausgewählten AD-Benutzer ab und konvertieren deren Attribute in das CSV-Format von Seed Tool. Der Microsoft-Befehl Get-ADUser unterstützt die Benutzerauswahl über Filter oder Suchbasis sowie den Abruf der erforderlichen Attribute.

Ordnen Sie die von der Anwendung benötigten Daten zu:

AD-Information	Import in FoxIDs
E-Mail-Adresse, üblicherweise `mail`	`Email`.
Gewählter Anmeldename, etwa `sAMAccountName` oder `userPrincipalName`	`Username`, wenn eine Anmeldung mit Benutzername erforderlich ist.
Deaktiviertes oder abgelaufenes Konto	`DisableAccount=true`, wenn das Konto importiert wird.
Vorname, Nachname und weitere Anwendungsattribute	Die entsprechenden Einträge in `Claims`.
Gruppenmitgliedschaft	Die von der Anwendung benötigten Rollen oder Zugriffszuweisungen.

Behalten Sie den AD-Wert objectGUID und die Zuordnung zum bestehenden Anwendungskonto in der Migrationszuordnung bei. Setzen Sie EmailVerified anhand des bekannten Verifizierungsstatus; ein E-Mail-Attribut in AD allein belegt diesen Status nicht.

Aktivieren Sie in der Authentifizierungsmethode Login die E-Mail-Anmeldung, die Passwortauthentifizierung und die Passwortvergabe per E-Mail. Speichern Sie die CSV-Datei als UTF-8 mit groß-/kleinschreibungssensitiven Spaltenüberschriften und Semikolon als Trennzeichen. Dieses Beispiel importiert einen fiktiven Benutzer ohne Passwort:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Konfigurieren Sie FoxIDs Seed Tool, tragen Sie die CSV-Datei unter SeedSettings.UsersSvcPath ein und wählen Sie U, um die Benutzer hochzuladen. Das Tool importiert die Benutzer gesammelt über die Control API in die konfigurierte FoxIDs Umgebung.

Bei der ersten Anmeldung erhält der Benutzer einen E-Mail-Code, gibt ihn auf der Anmeldeseite ein und legt ein neues Passwort fest. Die Passwortvergabe erfolgt bei der Anmeldung; das Hochladen der CSV-Datei erstellt lediglich die Konten. Das neue Passwort wird unabhängig von AD in FoxIDs verwaltet.

Anwendungskonten beibehalten

FoxIDs erstellt eine eigene dauerhafte Benutzer-ID sowohl für über den Connector bereitgestellte als auch für aus CSV importierte Benutzer. Die Bindung an das AD-Verzeichnis macht die bisherige Kennung einer Anwendung nicht automatisch zu deren FoxIDs sub oder SAML NameID.

Behalten Sie die Zuordnung zwischen dem AD-Benutzer und dem bestehenden Anwendungskonto bei. Wenn eine Anwendung einen vorhandenen Subject-Wert erwartet, stellen Sie diesen als Benutzer-Claim bereit und konfigurieren Sie eine Claim-Transformation in der Authentifizierungsmethode Login, um den erforderlichen sub zu erzeugen. Für Anwendungen mit SAML konfigurieren Sie den erforderlichen NameID und dessen Format in der Anwendungsregistrierung für SAML. Anwendungen, die Konten anhand von Issuer und Subject identifizieren, müssen auch den FoxIDs Issuer den bestehenden Konten zuordnen.

Nach der Deaktivierung des Connectors werden Änderungen an Gruppen und Attributen für den Anwendungszugriff in FoxIDs oder in der Anwendung gepflegt. Mit einer Testanmeldung können Sie das resultierende Subject, die Rollen und die Kontozuordnung prüfen.

Anwendungen von AD FS umstellen

Wenn Anwendungen derzeit AD FS verwenden, kann FoxIDs über SAML 2.0 eine Verbindung zu AD FS herstellen, während diese Anwendungen zu FoxIDs wechseln. AD FS bleibt in dieser Phase der Identitätsanbieter.

Anwendungen können später FoxIDs Login mit Directory Connector zur direkten Authentifizierung gegen AD verwenden oder nach der Migration lokale Benutzer in FoxIDs nutzen. AD kann das Verzeichnis bleiben, wenn AD FS aus dem Anmeldeablauf der Anwendung entfernt wird.

Eine Anmeldung über AD FS übermittelt FoxIDs nicht das Passwort des Benutzers. Die schrittweise Passwortmigration findet deshalb statt, wenn sich Benutzer über FoxIDs Login und Directory Connector anmelden. Behalten Sie beim Wechsel zwischen diesen Authentifizierungsmethoden die Kontozuordnung der Anwendung bei.