Connexion et Home Realm Discovery
FoxIDs gère la connexion utilisateur dans la méthode d'authentification de connexion. Vous pouvez configurer plusieurs méthodes d'authentification de connexion par environnement, chacune avec ses propres options et son propre look and feel.
Un environnement contient un seul référentiel d'utilisateurs, et chaque méthode d'authentification de connexion de cet environnement authentifie les utilisateurs contre ce même référentiel.
Si Directory Connector est activé pour l’environnement, la méthode d’authentification de connexion utilise toujours les utilisateurs internes, mais l’authentification par mot de passe et le cycle de vie du mot de passe sont délégués à l’annuaire externe.
Lorsqu'un utilisateur s'authentifie, sa session est associée à la méthode d'authentification de connexion sélectionnée. Le même utilisateur peut donc s'authentifier dans plusieurs méthodes d'authentification de connexion et conserver des sessions utilisateur distinctes.
Une enregistrement d'application OpenID Connect ou une enregistrement d'application SAML 2.0 peut authentifier des utilisateurs en sélectionnant une méthode d'authentification de connexion.
La méthode d'authentification de connexion utilise une interface de connexion en deux étapes : l'utilisateur saisit un identifiant sur la première page, puis termine l'étape de connexion configurée sur la page suivante.
Pour les scénarios avec double facteur et multi-facteur, voir Authentification à deux facteurs et multi-facteur (2FA/MFA).
Home Realm Discovery (HRD)
Lorsque vous créez un enregistrement d'application, il est souvent préférable d'utiliser la notation étoile par défaut (*) pour sélectionner toutes les méthodes d'authentification.
- Si une seule méthode d'authentification est autorisée, l'utilisateur est redirigé directement vers cette méthode.
- Si plusieurs méthodes sont autorisées, l'utilisateur peut être routé via Home Realm Discovery (HRD).
- HRD peut choisir une méthode d'authentification selon l'adresse IP du client, le domaine d'e-mail ou une expression régulière insensible à la casse.
- L'interface de connexion est ignorée lorsqu'une méthode est sélectionnée à partir de l'adresse IP du client.
Adresse IP du client Sélectionnez la méthode d'authentification en fonction de l'adresse IP de l'appareil client.
Sélection par adresse IP ou plage IP :
192.168.0.0/255.255.255.0sélectionne de192.168.0.0à192.168.0.255192.168.10.0/24sélectionne de192.168.10.0à192.168.10.255192.168.0.10 - 192.168.10.20sélectionne de192.168.0.10à192.168.10.20192.168.10.10-20sélectionne de192.168.10.10à192.168.10.20fe80::/10sélectionne des adresses commefe80::d503:4ee:3882:c586%3
Domaine d'e-mail Sélectionnez la méthode d'authentification selon le domaine d'e-mail de l'utilisateur.
Sélectionnez par domaine, ou utilisez (*) pour sélectionner tous les domaines non configurés sur une autre méthode d'authentification.
Expression régulière Sélectionnez la méthode d'authentification selon une expression régulière insensible à la casse qui correspond à l'e-mail, au numéro de téléphone ou au nom d'utilisateur de l'utilisateur.
Sélection par expression régulière :
xyz$correspond aux e-mails et noms d'utilisateur qui se terminent parxyz^\+45correspond aux numéros de téléphone qui commencent par l'indicatif+45abccorrespond aux e-mails et noms d'utilisateur qui contiennentabc^q10.*@xyz\.com$correspond aux e-mails qui commencent parq10dans le domainexyz.com
Vous pouvez choisir d'afficher le bouton HRD pour une méthode d'authentification même lorsqu'une plage IP, un domaine HRD ou une expression régulière est configuré.
Cet exemple montre une page de connexion avec HRD. La page peut être personnalisée.
Le titre, l'icône et la feuille de style CSS configurés sur la première méthode d'authentification de connexion autorisée dans l'enregistrement d'application sont utilisés. Si aucune méthode d'authentification de connexion autorisée n'est configurée, FoxIDs utilise le titre, l'icône et la feuille de style CSS de la méthode d'authentification de connexion par défaut.
Configuration de la connexion
Une méthode d'authentification de connexion par défaut est créée dans chaque environnement.
La connexion par défaut nommée
loginpeut être modifiée mais pas supprimée. Modifiez-la donc avec précaution pour éviter de perdre l'accès.
Le titre, l'icône et la feuille de style CSS configurés sur la méthode d'authentification de connexion par défaut sont utilisés lorsqu'aucune méthode d'authentification de connexion spécifique n'est sélectionnée, par exemple sur la page d'erreur ou pendant HRD.
Configurer les options de connexion
Vous pouvez configurer si les utilisateurs peuvent définir leur propre mot de passe, si les utilisateurs peuvent créer un nouvel utilisateur en ligne, quels identifiants utilisateur sont affichés et autorisés pour la connexion, si la création de compte en ligne est limitée à des domaines e-mail sélectionnés et si la connexion utilise un mot de passe ou un mot de passe à usage unique (OTP) par e-mail ou SMS.
Vous pouvez également personnaliser l'interface. De nouveaux utilisateurs peuvent être créés par un administrateur dans le Control Client ou provisionnés via la Control API.
Configurer la session
Cliquez sur Show advanced et ouvrez l'onglet Session pour configurer la durée de vie de la session. Les sessions sont activées par défaut, avec une durée de vie de 10 heures.
L'onglet affiche Session enabled lorsque Session lifetime ou Persistent session absolute lifetime est supérieur à 0, ou lorsque Persistent session lifetime unlimited est activé. Sinon, il affiche Session disabled.
La session utilisateur est glissante, ce qui signifie que sa durée est prolongée chaque fois qu'une application effectue une demande de connexion jusqu'à ce que la durée absolue de session soit atteinte, si elle est configurée. Session absolute lifetime définit cette limite supérieure ; ce paramètre n'active pas une session à lui seul.
La session utilisateur peut également devenir persistante afin de survivre aux redémarrages du navigateur. Une session devient persistante lorsque Persistent session absolute lifetime est supérieur à 0 ou lorsque Persistent session lifetime unlimited est défini sur Yes.
Tant que la session est valide, les transformations de claims de la méthode d'authentification peuvent utiliser les claims de session pour conserver des valeurs pour le même utilisateur authentifié d'une connexion à une application à l'autre.
Configurer les claims
Vous pouvez modifier les claims et implémenter des claim tasks avec claim transforms et claim tasks.