Migrer les utilisateurs Active Directory vers FoxIDs

Transférez les utilisateurs Active Directory (AD) et les connexions aux applications vers FoxIDs en conservant AD comme annuaire, transférez progressivement la validation des mots de passe vers FoxIDs, ou importez les utilisateurs et laissez-les choisir un nouveau mot de passe.

Ce guide technique couvre les utilisateurs d’Active Directory Domain Services (AD DS), leurs mots de passe et leurs comptes applicatifs. Le guide Directory Connector pour Active Directory décrit les étapes d’installation et de configuration.

Préparer l’environnement cible et les applications

Un environnement de test dédié permet d’essayer l’approche choisie avec un petit groupe d’utilisateurs et une application avant le passage en production.

1. Si vous souhaitez utiliser un domaine personnalisé, configurez-le avant de connecter les applications ou les fournisseurs d’identité externes. Un changement de domaine ultérieur nécessite la mise à jour des configurations externes utilisant les URL FoxIDs.
2. Chaque environnement possède une méthode d’authentification Login par défaut nommée login. Personnalisez son identité visuelle et son interface de connexion et activez les identifiants de connexion nécessaires, comme l’e-mail ou le nom d’utilisateur.
3. Enregistrez les applications dans FoxIDs et configurez leurs URL de redirection, leur comportement de déconnexion et les claims nécessaires. Le pont de protocoles prend en charge les applications utilisant différents protocoles pendant la transition.

FoxIDs peut appliquer l’authentification multifacteur aux utilisateurs qui se connectent via Login, y compris lorsque leurs mots de passe sont validés auprès d’AD. FoxIDs Cloud assure l’envoi d’e-mails et de SMS selon l’offre FoxIDs Cloud choisie.

Conserver AD comme annuaire

Installez Directory Connector pour Active Directory sur un serveur Windows/IIS pouvant joindre les contrôleurs de domaine. FoxIDs communique avec le connecteur via HTTPS. Configurez sa recherche d’utilisateurs AD, les attributs renvoyés et les éventuels claims de groupe utilisés par les applications.

Activez le connecteur sous Settings > Environment > Directory connector settings, avec l’URL de son API et son secret. Dans la méthode d’authentification Login, activez l’authentification par mot de passe et les identifiants renvoyés par le connecteur. Désactivez la création d’utilisateurs dans Login ; les nouveaux utilisateurs sont créés dans AD et provisionnés dans FoxIDs via le connecteur.

Lorsqu’un utilisateur saisit son identifiant, FoxIDs récupère son compte AD actuel et crée ou met à jour l’utilisateur interne FoxIDs. Le connecteur utilise l’objectGUID d’AD pour conserver le lien avec le compte lorsque les identifiants de connexion changent. L’authentification par mot de passe valide le mot de passe saisi auprès d’AD. Cette approche ne nécessite pas d’import CSV.

AD continue de gérer les mots de passe et les données utilisateur renvoyées par le connecteur. FoxIDs peut conserver cette connexion comme intégration permanente. La copie locale du mot de passe, facultative, permet une migration ultérieure ; elle n’est pas utilisée pour l’authentification tant que le connecteur est activé.

Migrer progressivement les mots de passe

Commencez par la configuration du connecteur ci-dessus et laissez Save local password activé, comme prévu par défaut. La transition se déroule ainsi :

1. Les utilisateurs se connectent via FoxIDs Login avec leurs mots de passe AD existants.
2. Après validation du mot de passe, FoxIDs enregistre un hachage local sur le même utilisateur interne. Les modifications et réinitialisations de mots de passe effectuées via FoxIDs mettent également à jour ce hachage local.
3. Désactivez Directory Connector dans les paramètres de l’environnement pour passer à la validation locale des mots de passe dans FoxIDs. Les utilisateurs FoxIDs existants et leurs mots de passe enregistrés restent disponibles.

Directory Connector est configuré pour l’ensemble de l’environnement ; sa désactivation fait donc passer l’environnement à la validation locale. Après ce changement, les utilisateurs, les mots de passe et les changements d’accès sont gérés dans FoxIDs ; les modifications dans AD ne mettent plus ces utilisateurs à jour via le connecteur.

La copie locale du mot de passe reflète la dernière validation, modification ou réinitialisation réussie via FoxIDs. Une modification ultérieure effectuée uniquement dans AD devient disponible localement lorsque l’utilisateur s’authentifie à nouveau avec ce mot de passe via FoxIDs.

Les utilisateurs qui n’ont pas encore été provisionnés peuvent être importés avec l’approche CSV ci-dessous. Après le changement, les utilisateurs existants sans copie locale du mot de passe peuvent utiliser Mot de passe oublié ?, si la réinitialisation par e-mail ou SMS est activée dans la méthode d’authentification Login. La récupération utilise leurs comptes FoxIDs existants.

Vous pouvez essayer la transition dans un environnement de test en vous connectant avec un utilisateur AD, en désactivant le connecteur puis en lançant une nouvelle connexion par mot de passe. Le même mot de passe est alors validé localement. Un utilisateur sans mot de passe enregistré peut à la place suivre le parcours configuré de définition ou de récupération du mot de passe.

Importer des utilisateurs pour définir un mot de passe

Pour passer directement à des utilisateurs locaux FoxIDs, récupérez les utilisateurs AD sélectionnés et convertissez leurs attributs au format CSV de Seed Tool. La commande Microsoft Get-ADUser permet de sélectionner les utilisateurs par filtre ou base de recherche et de récupérer les attributs nécessaires.

Mappez les données nécessaires à l’application :

Conservez l’objectGUID d’AD et l’association avec le compte applicatif existant dans le mapping de migration. Définissez EmailVerified à partir de l’état de vérification connu ; un attribut e-mail dans AD ne suffit pas à établir cet état.

Activez la connexion par e-mail, l’authentification par mot de passe et la définition du mot de passe par e-mail dans la méthode d’authentification Login. Enregistrez le fichier CSV en UTF-8 avec des en-têtes sensibles à la casse et des points-virgules comme séparateurs. Cet exemple importe un utilisateur fictif sans mot de passe :

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Configurez FoxIDs Seed Tool, indiquez le fichier CSV dans SeedSettings.UsersSvcPath et sélectionnez U pour charger les utilisateurs. L’outil charge les utilisateurs en masse dans l’environnement FoxIDs configuré via la Control API.

À la première connexion, l’utilisateur reçoit un code par e-mail, le saisit sur la page de connexion et choisit un nouveau mot de passe. Le mot de passe est défini pendant la connexion ; le chargement du CSV crée uniquement les comptes. Le nouveau mot de passe est géré dans FoxIDs indépendamment d’AD.

Conserver les comptes applicatifs

FoxIDs crée son propre identifiant utilisateur persistant, aussi bien pour les utilisateurs provisionnés via le connecteur que pour ceux importés depuis CSV. Le lien avec l’annuaire AD ne transforme pas automatiquement l’identifiant existant de l’application en son FoxIDs sub ou SAML NameID.

Conservez l’association entre l’utilisateur AD et le compte applicatif existant. Lorsqu’une application attend une valeur de sujet existante, rendez-la disponible comme claim utilisateur et configurez une transformation de claims dans la méthode d’authentification Login pour produire le sub requis. Pour les applications SAML, configurez le NameID et le format nécessaires dans l’enregistrement d’application SAML. Les applications qui identifient les comptes par émetteur et sujet doivent aussi associer l’émetteur FoxIDs aux comptes existants.

Après la désactivation du connecteur, les modifications des groupes et attributs utilisés pour l’accès aux applications sont gérées dans FoxIDs ou dans l’application. Une connexion de test permet d’examiner le sujet résultant, les rôles et l’association du compte.

Transférer les applications depuis AD FS

Si les applications utilisent actuellement AD FS, FoxIDs peut se connecter à AD FS avec SAML 2.0 pendant leur transfert vers FoxIDs. AD FS reste le fournisseur d’identité durant cette étape.

Les applications peuvent ensuite utiliser FoxIDs Login avec Directory Connector pour s’authentifier directement auprès d’AD, ou utiliser des utilisateurs locaux FoxIDs après la migration. AD peut rester l’annuaire lorsque AD FS est retiré du parcours de connexion aux applications.

Une connexion via AD FS ne transmet pas le mot de passe de l’utilisateur à FoxIDs. La migration progressive des mots de passe a donc lieu lorsque les utilisateurs se connectent via FoxIDs Login et Directory Connector. Conservez l’association du compte applicatif lors du passage entre ces méthodes d’authentification.

Documentation associée

• Vue d’ensemble de la migration
• Directory Connector pour Active Directory
• Directory Connector et copies locales des mots de passe
• Charger de nombreux utilisateurs
• Configuration de la connexion
• Connexion à AD FS avec SAML 2.0