Migrar usuarios de Active Directory a FoxIDs

Traslada los usuarios de Active Directory (AD) y el inicio de sesión de las aplicaciones a FoxIDs manteniendo AD como directorio de usuarios, traslada gradualmente la validación de contraseñas a FoxIDs o importa usuarios y permite que elijan una nueva contraseña.

Esta guía técnica abarca los usuarios de Active Directory Domain Services (AD DS), sus contraseñas y sus cuentas de aplicaciones. La guía de Directory Connector para Active Directory describe los pasos de instalación y configuración.

Enfoque	Gestión de contraseñas	Gestión de usuarios
Mantener AD como directorio	FoxIDs valida la contraseña del usuario en AD mediante Directory Connector.	AD sigue siendo la fuente de referencia para los usuarios y los atributos que devuelve el conector.
Migrar contraseñas gradualmente	FoxIDs guarda un hash local tras validar correctamente la contraseña en AD. La validación local toma el relevo cuando se desactiva el conector.	Los usuarios se aprovisionan mediante el conector y después se gestionan en FoxIDs.
Importar usuarios para establecer contraseñas	Los usuarios eligen una nueva contraseña de FoxIDs con un código por correo electrónico en el primer inicio de sesión.	Los usuarios se importan desde CSV con FoxIDs Seed Tool y se gestionan en FoxIDs.

Preparar el destino y las aplicaciones

Un entorno de pruebas dedicado permite probar el enfoque elegido con un pequeño grupo de usuarios y una aplicación antes de pasar a producción.

Si quieres usar un dominio personalizado, configúralo antes de conectar aplicaciones o proveedores de identidad externos. Cambiar el dominio más adelante requiere actualizar las configuraciones externas que utilizan URL de FoxIDs.
Cada entorno tiene un método de autenticación Login predeterminado llamado login. Personaliza su imagen de marca e interfaz de inicio de sesión y activa los identificadores de inicio de sesión necesarios, como el correo electrónico o el nombre de usuario.
Registra las aplicaciones en FoxIDs y configura sus URL de redirección, el comportamiento de cierre de sesión y los claims necesarios. El puente de protocolos admite aplicaciones que utilizan distintos protocolos durante la transición.

FoxIDs puede aplicar autenticación multifactor a los usuarios que inician sesión mediante Login, incluidos aquellos cuyas contraseñas se validan en AD. FoxIDs Cloud proporciona el envío de correo electrónico y SMS según el plan de FoxIDs Cloud seleccionado.

Mantener AD como directorio

Instala Directory Connector para Active Directory en un servidor Windows/IIS que pueda acceder a los controladores de dominio. FoxIDs se comunica con el conector mediante HTTPS. Configura la búsqueda de usuarios en AD, los atributos devueltos y los claims de grupo que utilicen las aplicaciones, si procede.

Activa el conector en Settings > Environment > Directory connector settings, utilizando la URL de su API y su secreto. En el método de autenticación Login, activa la autenticación con contraseña y los identificadores que devuelve el conector. Desactiva la creación de usuarios en Login; los nuevos usuarios se crean en AD y se aprovisionan en FoxIDs mediante el conector.

Cuando un usuario introduce su identificador, FoxIDs recupera su cuenta actual de AD y crea o actualiza el usuario interno de FoxIDs. El conector utiliza el objectGUID de AD para mantener la vinculación de la cuenta cuando cambian los identificadores de inicio de sesión. La autenticación con contraseña valida la contraseña introducida en AD. Este enfoque no requiere una importación CSV.

AD sigue gestionando las contraseñas y los datos de usuario que devuelve el conector. FoxIDs puede mantener esta conexión como integración permanente. La copia local de la contraseña, opcional, permite una migración posterior; no se utiliza para autenticar mientras el conector está activado.

Migrar contraseñas gradualmente

Empieza con la configuración del conector descrita anteriormente y mantén Save local password activado, que es el valor predeterminado. La transición funciona así:

Los usuarios inician sesión mediante FoxIDs Login con sus contraseñas existentes de AD.
Tras validar correctamente la contraseña, FoxIDs almacena un hash local en el mismo usuario interno. Los cambios y restablecimientos de contraseña completados mediante FoxIDs también actualizan el hash local.
Desactiva Directory Connector en la configuración del entorno para pasar a la validación local de contraseñas en FoxIDs. Los usuarios existentes de FoxIDs y sus contraseñas guardadas siguen disponibles.

Directory Connector se configura para todo el entorno, por lo que al desactivarlo el entorno pasa a la validación local. Después del cambio, los usuarios, las contraseñas y los cambios de acceso se gestionan en FoxIDs; los cambios en AD ya no actualizan a esos usuarios mediante el conector.

La copia local de la contraseña refleja la última validación, modificación o restablecimiento completado correctamente mediante FoxIDs. Un cambio posterior realizado únicamente en AD estará disponible localmente cuando el usuario vuelva a autenticarse con esa contraseña mediante FoxIDs.

Los usuarios que aún no se hayan aprovisionado pueden importarse mediante el enfoque CSV descrito a continuación. Después del cambio, los usuarios existentes sin una copia local de la contraseña pueden usar ¿Has olvidado tu contraseña?, con el restablecimiento por correo electrónico o SMS activado en el método de autenticación Login. La recuperación utiliza sus cuentas existentes de FoxIDs.

Puedes probar la transición en un entorno de pruebas iniciando sesión con un usuario de AD, desactivando el conector y comenzando un nuevo inicio de sesión con contraseña. La misma contraseña se valida entonces localmente. Un usuario sin contraseña guardada puede completar, en su lugar, el flujo configurado de creación o recuperación de contraseña.

Importar usuarios para establecer contraseñas

Para pasar directamente a usuarios locales de FoxIDs, recupera los usuarios de AD seleccionados y convierte sus atributos al formato CSV de Seed Tool. El comando Get-ADUser de Microsoft permite seleccionar usuarios por filtro o base de búsqueda y recuperar los atributos necesarios.

Asigna los datos que necesita la aplicación:

Información de AD	Importación en FoxIDs
Dirección de correo electrónico, normalmente `mail`	`Email`.
Nombre de inicio de sesión elegido, como `sAMAccountName` o `userPrincipalName`	`Username` cuando se requiera iniciar sesión con nombre de usuario.
Cuenta desactivada o caducada	`DisableAccount=true` si se incluye la cuenta en la importación.
Nombre, apellidos y otros atributos de la aplicación	Las entradas correspondientes en `Claims`.
Pertenencia a grupos	Los roles o las asignaciones de acceso que requiere la aplicación.

Conserva el objectGUID de AD y la asociación con la cuenta existente de la aplicación en el mapeo de migración. Establece EmailVerified según el estado de verificación conocido; un atributo de correo electrónico en AD no determina por sí solo ese estado.

Activa el inicio de sesión por correo electrónico, la autenticación con contraseña y la creación de contraseñas por correo electrónico en el método de autenticación Login. Guarda el CSV en UTF-8 con encabezados que distingan entre mayúsculas y minúsculas y punto y coma como separador. Este ejemplo importa un usuario ficticio sin contraseña:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Configura FoxIDs Seed Tool, establece SeedSettings.UsersSvcPath en el archivo CSV y selecciona U para cargar los usuarios. La herramienta carga los usuarios de forma masiva en el entorno de FoxIDs configurado mediante la Control API.

En el primer inicio de sesión, el usuario recibe un código por correo electrónico, lo introduce en la página de inicio de sesión y elige una nueva contraseña. La contraseña se establece durante el inicio de sesión; cargar el CSV solo crea las cuentas. La nueva contraseña se gestiona en FoxIDs independientemente de AD.

Conservar las cuentas de las aplicaciones

FoxIDs crea su propio identificador de usuario persistente tanto para los usuarios aprovisionados mediante el conector como para los importados desde CSV. La vinculación con el directorio AD no convierte automáticamente el identificador existente de una aplicación en su FoxIDs sub o SAML NameID.

Conserva la asociación entre el usuario de AD y la cuenta existente de la aplicación. Cuando una aplicación espere un valor de subject existente, haz que esté disponible como claim del usuario y configura una transformación de claims en el método de autenticación Login para generar el sub necesario. Para las aplicaciones SAML, configura el NameID y el formato necesarios en el registro de aplicación SAML. Las aplicaciones que identifican las cuentas por emisor y subject también deben asociar el emisor de FoxIDs con las cuentas existentes.

Después de desactivar el conector, los cambios en grupos y atributos utilizados para el acceso a las aplicaciones se mantienen en FoxIDs o en la aplicación. Un inicio de sesión de prueba permite inspeccionar el subject resultante, los roles y la asociación de la cuenta.

Trasladar aplicaciones desde AD FS

Si las aplicaciones utilizan actualmente AD FS, FoxIDs puede conectarse a AD FS con SAML 2.0 mientras se trasladan a FoxIDs. AD FS sigue siendo el proveedor de identidad durante esta etapa.

Las aplicaciones pueden utilizar después FoxIDs Login con Directory Connector para autenticarse directamente en AD, o utilizar usuarios locales de FoxIDs tras la migración. AD puede seguir siendo el directorio cuando AD FS se retire del flujo de inicio de sesión de las aplicaciones.

Un inicio de sesión mediante AD FS no proporciona a FoxIDs la contraseña del usuario. Por tanto, la migración gradual de contraseñas se produce cuando los usuarios inician sesión mediante FoxIDs Login y Directory Connector. Conserva la asociación de la cuenta de la aplicación al cambiar entre estos métodos de autenticación.