Von Auth0 zu FoxIDs migrieren

Stellen Sie Anmeldungen von Auth0 auf FoxIDs um und wählen Sie für jede Verbindung den passenden Migrationsweg. Importieren Sie Datenbankbenutzer mit bcrypt Passwort-Hashes oder lassen Sie sie ein neues Passwort wählen. Importieren Sie passwortlose Benutzer ohne Passwort und aktivieren Sie Einmalcodes. Für soziale Anmeldungen und Unternehmensanmeldungen konfigurieren Sie FoxIDs Authentifizierungsmethoden, die den externen Identitätsanbietern vertrauen.

Diese technische Anleitung behandelt Anwendungskonfiguration, Benutzerimport und Kontozuordnung für Auth0 Datenbankverbindungen, passwortlose E-Mail-/SMS-Verbindungen sowie soziale und Unternehmensverbindungen.

Für Datenbankbenutzer und passwortlose Benutzer konvertieren Sie den geprüften Auth0 Export in eine CSV-Datei und laden die Benutzer mit dem FoxIDs Seed Tool gesammelt in FoxIDs. Die folgenden CSV-Beispiele zeigen die Felder für die einzelnen Migrationswege.

Wählen Sie vor der Vorbereitung des Imports für jede Gruppe eine Methode:

Importierte Benutzer mit Passwort und passwortlose Benutzer authentifizieren sich lokal in FoxIDs. Benutzer sozialer und Unternehmensverbindungen authentifizieren sich beim verbundenen Identitätsanbieter.

Zielumgebung und Anwendung vorbereiten

In einer eigenen Testumgebung können Sie die Migration mit einer kleinen Benutzergruppe vor dem Produktivbetrieb ausprobieren. Die Konfigurationsschritte sind:

1. Wenn Sie eine benutzerdefinierte Domain verwenden möchten, konfigurieren und verifizieren Sie diese beim Mandanten, bevor Sie Anwendungen und externe Identitätsanbieter konfigurieren. Verwenden Sie die daraus entstehenden FoxIDs URLs während der gesamten Migration. Eine spätere Domainänderung erfordert die Aktualisierung externer Konfigurationen, einschließlich Authority- oder Metadaten-URLs der Anwendungen sowie Callback- und Abmelde-URLs der Anbieter.
2. Jede Umgebung verfügt über eine standardmäßige Login-Authentifizierungsmethode namens login. Passen Sie deren Branding und Anmeldeoberfläche an das gewünschte Erscheinungsbild und deren Anmeldeoptionen an die importierten Benutzer an.
3. Erstellen Sie die Authentifizierungsmethoden, die Benutzer sozialer und Unternehmensverbindungen mit ihren externen Identitätsanbietern verbinden, entsprechend dem jeweiligen Migrationsabschnitt unten.
4. Konfigurieren Sie die Anwendung, ihre zulässigen Weiterleitungs-URLs, ihr Abmeldeverhalten und alle APIs, die ihre Zugriffstoken akzeptieren.

FoxIDs Cloud bietet den Versand von E-Mails und SMS für Passworteinrichtung, passwortlose Anmeldung und Multi-Faktor-Authentifizierung (MFA), abhängig vom gewählten FoxIDs Cloud Tarif.

Konfigurieren Sie die erforderlichen MFA-Einstellungen und die Registrierung der Benutzer; die hier beschriebenen Importe übertragen keine Auth0 MFA-Registrierungen. Prüfen Sie für Passwortkonten die Anforderungen an Passwortlänge, Komplexität und Ablauf: Beim Hash-Import wird die Passwortrichtlinie während des Imports nicht geprüft, sie gilt jedoch bei der Anmeldung.

Die Anwendungskonfiguration ist ein eigener Arbeitsbereich neben dem Benutzerimport. Prüfen Sie Aussteller, Zielgruppe, Scopes, Claims und Tokenvalidierung sowie Annahmen im Auth0 SDK, Actions, Organisationsmitgliedschaften und Rollenzuweisungen. Implementieren Sie das von der Anwendung benötigte Verhalten. Der allgemeine Migrationsleitfaden behandelt die umfassendere Bestandsaufnahme der Anwendungen und die Einführungsschritte.

Eine definierte Gruppe von Auth0 Benutzern exportieren

Folgen Sie den Anweisungen von Auth0 zum Massenexport von Benutzern. Wählen Sie die Quellverbindung ausdrücklich mit connection_id; ein API-Export ohne diesen Wert umfasst alle Verbindungen. Halten Sie Datenbankbenutzer, passwortlose Benutzer und föderierte Benutzer während der Konvertierung unterscheidbar.

Verwenden Sie einen JSON-kompatiblen Export (NDJSON) als Konvertierungsquelle. Auth0 CSV-Exporte verwenden zusätzliche Escape-Zeichen und sind daher keine fertigen Eingabedateien für das FoxIDs Seed Tool. Mit einem kleinen Export lässt sich die Konvertierung in das CSV-Format des Seed Tools ausprobieren.

Nehmen Sie user_id, blocked sowie die von jeder Verbindung verwendeten Kennungen und Verifizierungszustände auf: email und email_verified oder phone_number und phone_verified für SMS-Benutzer. Bewahren Sie bei sozialen Konten, Unternehmenskonten und verknüpften Konten Anbieter, Verbindung und Benutzer-ID aus identities für die Kontozuordnung auf. Exportieren Sie nur die nach der Migration benötigten Benutzerdaten und bewahren Sie Quellmandant und Quellverbindung zusammen mit dem Export auf. Beachten Sie bei der Feldauswahl das Auth0 Benutzerprofilschema.

Passwort-Hashes zum Beibehalten von Passwörtern anfordern

Fordern Sie den Passwort-Hash-Export beim Auth0 Support an. Er ist vom Benutzerdatenexport getrennt. Die Anleitung von Auth0 zum Passwort-Hash-Export beschreibt die NDJSON-Datensätze und das Feld passwordHash. Das Beispiel $2b$10$... kennzeichnet die bcrypt Variante 2b und den Kostenfaktor 10.

Ordnen Sie jeden Hash anhand von Quellmandant, Datenbankverbindung und Benutzer-ID dem richtigen Benutzer zu.

Benutzerdaten zuordnen und Anwendungskonten beibehalten

FoxIDs erstellt für importierte lokale Benutzer eine eigene dauerhafte Benutzer-ID. Der Import einer Auth0 user_id als benutzerdefinierter Claim macht sie nicht zur FoxIDs Benutzer-ID und erhält nicht automatisch den sub-Claim der Anwendung. Prüfen Sie bei sozialen Anmeldungen und Unternehmensanmeldungen die direkt vom Anbieter erhaltene Identität und das von FoxIDs an die Anwendung ausgegebene Subject.

Um die Auth0 Benutzer-ID als sub der Anwendung beizubehalten, importieren Sie sie als benutzerdefinierten Claim, etwa legacy_auth0_user_id. Konfigurieren Sie auf der Login-Authentifizierungsmethode eine Map-Claim-Transformation mit der Aktion Replace claim, dem Eingabe-Claim legacy_auth0_user_id und dem Ausgabe-Claim sub. Die Anwendung erhält dann die Auth0 Benutzer-ID als sub, während die dauerhafte FoxIDs ID des Benutzers unverändert bleibt.

Pflegen Sie eine Zuordnung zwischen Quellidentität, neuer FoxIDs Identität und bestehendem Anwendungskonto. Beispielsweise sollten die alte Auth0 Identität und die neue FoxIDs Identität während des Übergangs auf denselben Kundendatensatz verweisen, statt zwei Datensätze zu erzeugen. Prüfen Sie das tatsächlich an jede Anwendung ausgegebene Subject und aktualisieren Sie bei Bedarf die Kontozuordnung. Verknüpfen Sie Konten nicht allein aufgrund übereinstimmender E-Mail-Adressen.

Verwenden Sie für den Import lokaler Benutzer folgende Zuordnung:

Soziale Anmeldungen und Unternehmensanmeldungen migrieren

Erstellen Sie für jede soziale oder Unternehmensverbindung eine FoxIDs Authentifizierungsmethode, die dem externen Identitätsanbieter direkt vertraut. Die Benutzer behalten ihre Konten und Anmeldedaten bei diesem Anbieter.

1. Ermitteln Sie Anbieter und Konfiguration hinter jeder Auth0 Verbindung. Verwenden Sie die passende Integrationsanleitung für den Anbieter, etwa Google, Facebook oder Microsoft Entra ID, und wählen Sie die unterstützte Authentifizierungsmethode für OpenID Connect, SAML 2.0 oder WS-Federation.
2. Registrieren oder konfigurieren Sie FoxIDs beim Anbieter. Tauschen Sie Clienteinstellungen oder Föderationsmetadaten aus und konfigurieren Sie die in der Integrationsanleitung angegebenen Callback- und Abmelde-URLs. Bewahren Sie die Auth0 Konfiguration während des Übergangs auf.
3. Erlauben Sie die neue Authentifizierungsmethode für die FoxIDs Anwendung. Konfigurieren Sie Home Realm Discovery, damit Benutzer ihren Anbieter auswählen oder über die konfigurierten Regeln dorthin geleitet werden können.
4. Gleichen Sie die Anbieteridentität mit dem bestehenden Anwendungskonto ab. Die bei einer Testanmeldung zurückgegebenen Kennungen können mit dem Quellkonto verglichen werden; eine Auth0 Benutzer-ID ist nicht unbedingt die direkt an FoxIDs zurückgegebene Kennung. Wenn Sie benutzerspezifische Claims oder Zugriffszuweisungen in FoxIDs speichern müssen, konfigurieren und provisionieren Sie externe Benutzer.
5. Erstellen Sie die zuvor von Auth0 durchgesetzten Einschränkungen neu, einschließlich blockierter Benutzer und Organisationszugriff.

Der erwartete Ablauf ist Anwendung → FoxIDs → externer Identitätsanbieter → FoxIDs → Anwendung. FoxIDs stellt die Token der Anwendung aus, nachdem der Anbieter den Benutzer authentifiziert hat.

Sie können jede Verbindung ausprobieren, indem Sie die Anmeldung in der Anwendung starten, den Anbieter auswählen und dessen Anmeldeablauf abschließen. So lassen sich MFA, Anwendungskonto und Berechtigungen sowie das Abmeldeverhalten beobachten.

Passwortlose Benutzer migrieren

Importieren Sie Benutzer aus den passwortlosen E-Mail- oder SMS-Verbindungen von Auth0 als interne FoxIDs Benutzer ohne Passwort. Konfigurieren Sie die passwortlose Anmeldung, damit sie sich weiterhin mit einem Einmalcode anmelden. Benutzer, die bisher einen Auth0 Magic Link erhielten, geben stattdessen einen Einmalcode auf der bereits geöffneten Anmeldeseite ein. Dadurch müssen sie keinen Anmeldelinks in E-Mails oder SMS folgen.

1. Aktivieren Sie E-Mail oder Telefon als Anmeldekennung auf der Authentifizierungsmethode FoxIDs Login und je nach Bedarf Passwordless with email (one-time password) oder Passwordless with SMS (one-time password).
2. Wählen Sie für eine auf passwortlose Benutzer ausgerichtete Anmeldemethode Disable password authentication und deaktivieren Sie Passworteinrichtung/-zurücksetzung per E-Mail und SMS. So bleibt der Anmeldeablauf auf Einmalcodes ausgerichtet.
3. Importieren Sie die Benutzer ohne Password und ohne sämtliche Passwort-Hash-Felder. Lassen Sie SetPasswordEmail, SetPasswordSms und ChangePassword auf false, damit Benutzer kein Passwort wählen müssen. Bewahren Sie Verifizierungszustand, Deaktivierungszustand und erforderliche Claims.

Zum Ausprobieren der passwortlosen Anmeldung können Sie die Anmeldung mit der E-Mail-Adresse oder Telefonnummer eines importierten Testbenutzers starten und den erhaltenen Code eingeben. Ein gültiger Code lässt einen aktivierten Benutzer nach gegebenenfalls erforderlicher MFA zur Anwendung gelangen; ungültige oder abgelaufene Codes und deaktivierte Konten gewähren keinen Zugriff.

Diese CSV-Datei für das Seed Tool importiert beispielsweise einen fiktiven Benutzer mit passwortloser E-Mail-Anmeldung:

Email;EmailVerified;SetPasswordEmail;SetPasswordSms;ChangePassword;DisableAccount
alice@example.com;true;false;false;false;false

Ersetzen Sie für SMS-Benutzer Email und EmailVerified durch Phone und PhoneVerified und verwenden Sie die geprüfte Telefonnummer und den Verifizierungszustand. Es gilt dasselbe Uploadverfahren. Nach erfolgreicher passwortloser Anmeldung bleibt der Benutzer ohne Passwort.

Benutzer mit bcrypt Passwort-Hashes importieren

FoxIDs akzeptiert vollständige bcrypt Zeichenfolgen mit den Präfixen $2a$, $2b$ oder $2y$ und Kostenfaktoren von 4 bis 16. Verwenden Sie für Benutzer mit Hashes außerhalb des unterstützten Formats die Passworteinrichtung per E-Mail.

Aktivieren Sie für diese Benutzer E-Mail-Anmeldung und Passwortauthentifizierung auf der Authentifizierungsmethode FoxIDs Login.

Kopieren Sie jeden zugeordneten Auth0 passwordHash-Wert in die CSV-Spalte PasswordHash und setzen Sie PasswordHashAlgorithm auf bcrypt. Bewahren Sie die gesamte Hash-Zeichenfolge einschließlich Variante, Kostenfaktor und eingebettetem Salt. Sie ist bereits für bcrypt kodiert. Siehe Passwort-Hash-Formate und den Control API-Vertrag für den Passwortimport.

Verwenden Sie für das Seed Tool die folgenden Spalten. Dies ist ein synthetisches Testkonto; ersetzen Sie es durch Ihren geprüften Export:

Email;EmailVerified;PasswordHashAlgorithm;PasswordHash;SetPasswordEmail;ChangePassword;DisableAccount
alice@example.com;true;bcrypt;$2b$10$..CA.uOD/eaGAOmJB.yMBu3YunYvFEoaS5IJZ/wiqfQ/EWx.HaqjC;false;false;false

Lassen Sie Password und PasswordHashSalt weg. Lassen Sie SetPasswordEmail, SetPasswordSms und ChangePassword auf false, wenn der Benutzer sein bestehendes Passwort weiterverwenden soll. Bewahren Sie Deaktivierungszustand, Verifizierungszustand, Claims und MFA-Anforderungen aus der geprüften Zuordnung. Geben Sie PasswordLastChanged an, wenn Sie den ursprünglichen Änderungszeitpunkt kennen, in Unix-Sekunden; andernfalls erfasst FoxIDs den Importzeitpunkt für Prüfungen des Passwortalters.

Dasselbe Uploadverfahren gilt für alle Importe lokaler Benutzer. Massenprovisionierung kann unabhängig vom gewählten Passwortformat ein bestehendes Konto und seine Anmeldedaten ersetzen.

Mit einem importierten Testbenutzer können Sie die Anmeldung mit dem ursprünglichen Passwort und anschließend mit einem falschen Passwort ausprobieren. Das ursprüngliche Passwort authentifiziert den Benutzer gemäß der konfigurierten Passwortrichtlinie und MFA; ein falsches Passwort oder ein deaktiviertes Konto gewährt keinen Zugriff. Passwortänderung und Wiederherstellung lassen sich ebenfalls über die konfigurierte Anmeldeoberfläche ausprobieren.

Der importierte Hash bleibt nach der Anmeldung bcrypt. Ein in FoxIDs gesetztes oder geändertes Passwort wird im standardmäßigen PBKDF2-Format von FoxIDs gespeichert. Der Passwortverlauf verhindert weiterhin die Wiederverwendung gemäß der gewählten Richtlinie, auch wenn nach einer Passwortzurücksetzung ein alter bcrypt Hash erhalten bleibt.

Benutzer zur Passworteinrichtung importieren

Verwenden Sie diese Methode für Konten, die statt eines Hash-Imports ein neues Passwort wählen sollen. Aktivieren Sie E-Mail-Anmeldung, Passwortauthentifizierung und Passworteinrichtung per E-Mail auf der Authentifizierungsmethode FoxIDs Login. Für Benutzer, die ohne Passwort fortfahren sollen, folgen Sie Passwortlose Benutzer migrieren.

Der Benutzerimport bereitet die Konten vor. Die Passworteinrichtung erfolgt beim Start einer Anmeldung durch den jeweiligen Benutzer, nicht während des Imports.

Konvertieren Sie die geprüften Datensätze in eine UTF-8-Datei für das FoxIDs Seed Tool. Spaltenüberschriften unterscheiden Groß- und Kleinschreibung; das Trennzeichen ist ein Semikolon. Dieses Beispiel enthält fiktive Benutzer mit zuvor verifizierten E-Mail-Adressen; das zweite Konto bleibt deaktiviert:

Email;EmailVerified;SetPasswordEmail;DisableAccount;RequireMultiFactor;Claims
alice@example.com;true;true;false;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-001""]}]"
blocked@example.com;true;true;true;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-002""]}]"

SetPasswordEmail=true wählt die Passworteinrichtung mit E-Mail-Bestätigung. Lassen Sie Password und alle Passwort-Hash-Spalten weg. Für diesen Ablauf benötigen Sie weder ein gemeinsam genutztes temporäres Passwort noch ChangePassword. RequireMultiFactor=true ist die gewählte Richtlinie des Beispiels und erfordert die Konfiguration der entsprechenden MFA-Methoden.

Geben Sie den Beispiel-Claim legacy_auth0_user_id nur über die konfigurierte Claim-Verarbeitung an Anwendungen weiter, die ihn benötigen.

Benutzer hochladen und Ergebnis prüfen

Verwenden Sie dieses Uploadverfahren für Benutzer mit bcrypt Hashes, passwortlose Benutzer und Benutzer, die bei der ersten Anmeldung ein Passwort wählen sollen, mit den zur gewählten Methode passenden Feldern.

Das Seed Tool trennt Felder an Semikolons; Felder in Anführungszeichen können keine eingebetteten Semikolons oder Zeilenumbrüche enthalten. Verwenden Sie die Benutzeroperationen der Control API, wenn Ihre Werte eine umfangreichere Importdarstellung benötigen.

1. Laden Sie das Seed Tool herunter und konfigurieren Sie es für die gewünschte Umgebung. Setzen Sie SeedSettings.UsersSvcPath auf die konvertierte CSV-Datei.
2. Starten Sie das Seed Tool und wählen Sie U, um die Benutzer gesammelt hochzuladen.
3. Erfassen Sie die neuen Benutzer-IDs in Ihrer Migrationszuordnung.

Sie können den Upload mit einer CSV-Datei mit wenigen Benutzern in einer Testumgebung ausprobieren. Das Seed Tool meldet die Anzahl erfolgreicher und fehlgeschlagener Vorgänge. Die importierten Benutzer lassen sich in FoxIDs Control auf Kennungen, Deaktivierungszustand, Claims und Passworteinrichtungsflags prüfen.

Das Seed Tool verwendet Massenprovisionierung, die bestehende Benutzer ersetzen kann, statt sie sicher zusammenzuführen. Prüfen Sie vor dem Upload auf Kollisionen. Laden Sie die vollständige Datei nicht erneut hoch, nachdem Benutzer Passwörter gesetzt oder Zugriff erhalten haben: Das Ersetzen kann Anmeldedaten und Zustand entfernen und neue Benutzer-IDs erzeugen. Gleichen Sie einen teilweise abgeschlossenen Import vor einem erneuten Versuch ab; behandeln Sie spätere Änderungen mit geprüften, gezielten Benutzeraktualisierungen.

Passworteinrichtung bei der ersten Anmeldung

Für einen aktivierten importierten Benutzer mit SetPasswordEmail=true ist folgender Ablauf zu erwarten:

1. Der Benutzer öffnet die Anwendung und startet die Anmeldung über FoxIDs Login.
2. FoxIDs identifiziert den Benutzer anhand der E-Mail-Adresse und sendet einen Bestätigungscode.
3. Der Benutzer übermittelt den Code und ein neues Passwort, das der FoxIDs Passwortrichtlinie entspricht.
4. FoxIDs verifiziert die E-Mail-Adresse, speichert das Passwort und setzt die Passworteinrichtungsflags zurück. Die Anmeldung durchläuft gegebenenfalls erforderliche MFA-Schritte, bevor sie zur Anwendung zurückkehrt.

Der Benutzerimport sendet keine Einrichtungs-E-Mail. Spätere Passwortanmeldungen verwenden das neue FoxIDs Passwort, nicht das vorherige Auth0 Passwort. Kann ein Benutzer den Code nicht empfangen, verwenden Sie einen genehmigten Wiederherstellungsprozess, der seine Identität verifiziert.

Sie können den Ablauf mit einem Testbenutzer anhand der obigen Anmeldeschritte erkunden. Diese Szenarien zeigen die erwarteten Ergebnisse:

Einführen und Rückkehrmöglichkeit beibehalten

Die Migration kann je Anwendung oder Benutzergruppe eingeführt werden. Benutzer können über ihre gewohnte Anwendungs-URL mit dem konfigurierten Anmeldeablauf fortfahren: bestehendes Passwort, Passworteinrichtung, Einmalcode oder bisheriger externer Identitätsanbieter.

Gleichen Sie vor jedem Produktionsimport Benutzer ab, die seit dem Export erstellt, geändert, blockiert oder gelöscht wurden. Definieren Sie einen kurzen Änderungsstopp oder einen anderen kontrollierten Abgleichprozess. Überschreiben Sie zur Umsetzung dieser Änderungen keine bereits migrierten Benutzer.

Überwachen Sie E-Mail- und SMS-Zustellung, Einrichtungsfehler, Anmeldefehler und Kontozuordnungsprobleme. Berücksichtigen Sie bei Hash-Importen Passwortänderungen in Auth0 nach dem Export, damit Benutzer nicht ein vom importierten Hash abweichendes Passwort verwenden. Ein Rollback setzt voraus, dass die bisherige Auth0 Konfiguration verfügbar bleibt. Sie können ihre Wiederherstellung für eine Testanwendung ausprobieren und die Rückkehr zum Auth0 Anmeldeablauf beobachten.

Ein in FoxIDs gesetztes Passwort wird nicht zurück zu Auth0 synchronisiert. Ein Rollback verwendet daher die weiterhin in Auth0 gespeicherten Anmeldedaten. Legen Sie fest, wie nur in FoxIDs erstellte Benutzer bei einem nötigen Rollback über Auth0 Zugriff erhalten. Bewahren Sie für passwortlose und föderierte Anmeldungen die zur Wiederherstellung des bisherigen Ablaufs erforderlichen Auth0 Zustelleinstellungen und Anbieterverbindungen auf. Nehmen Sie die alte Integration erst außer Betrieb und löschen Sie aufbewahrte Exportdateien erst, nachdem Kontozugriff und betrieblicher Support abgenommen wurden.

Zugehörige Dokumentation

• Migrationsübersicht
• Viele Benutzer hochladen
• Benutzeroperationen der Control API
• Anmeldung und Home Realm Discovery
• E-Mail-Anbieter
• Anwendungen