Utilisateurs

Les utilisateurs sont enregistrés dans le référentiel d’utilisateurs de l’environnement. Pour obtenir plusieurs magasins d’utilisateurs, vous créez des environnements supplémentaires et obtenez ainsi davantage de magasins d’utilisateurs.

Il existe deux types d’utilisateurs :

  • Utilisateurs internes authentifiés via la méthode d’authentification login.
  • Utilisateurs externes liés par une méthode d’authentification à une identité/utilisateur externe via un claim. Les utilisateurs sont authentifiés dans un fournisseur d’identité externe et peuvent être rachetés sur la base, par exemple, d’un claim email (voir la section Provision and redeem dans la doc des utilisateurs externes).

Vous pouvez utiliser Directory Connector lorsque les utilisateurs internes doivent exister dans l’environnement FoxIDs, mais que l’authentification par mot de passe et le cycle de vie du mot de passe doivent être délégués à un annuaire externe faisant autorité.

Une autre option est d’authentifier par rapport à un magasin d’utilisateurs externe existant via une API. Dans ce cas, les utilisateurs ne sont pas enregistrés comme utilisateurs internes dans l’environnement. Les utilisateurs peuvent être créés de manière optionnelle en tant qu’utilisateurs externes.

Vous pouvez également modéliser un accès hiérarchique pour les utilisateurs internes et externes avec la structure d’accès et attribuer des appartenances aux nœuds de la structure d’accès.

Révoquer les refresh tokens et les sessions actives

FoxIDs révoque automatiquement les grants de refresh token et les sessions actives d’un utilisateur lorsqu’un utilisateur interne ou externe est désactivé ou supprimé. Il en va de même lorsqu’un utilisateur externe arrivé à expiration est supprimé. Les authorization codes ne sont pas révoqués, car ils ont une courte durée de vie et ne peuvent être utilisés qu’une seule fois.

Les modifications des appartenances à une structure d’accès révoquent également les grants de refresh token et les sessions actives concernés. Cela se produit lorsque les appartenances d’un utilisateur sont modifiées, lorsqu’une structure d’accès commence à désactiver des utilisateurs ou lorsqu’elle est supprimée. Les appartenances limitées dans le temps sont vérifiées lors de l’utilisation d’un refresh token ou d’une session active afin qu’un accès arrivé à expiration ou supprimé ne puisse plus être utilisé.

Dans FoxIDs Control Client, utilisez les onglets Refresh Token Grants et Active Sessions de la page des utilisateurs de l’environnement pour rechercher et révoquer des accès. Vous pouvez effectuer une recherche à l’aide d’un identifiant utilisateur FoxIDs, d’une adresse e-mail, d’un numéro de téléphone, d’un nom d’utilisateur ou de sub. Les utilisateurs fédérés qui ne sont pas enregistrés dans FoxIDs peuvent être trouvés à l’aide des identifiants disponibles pour eux. Des filtres supplémentaires permettent de limiter les résultats à une authentication method, une application ou une session particulière.

La révocation d’une session active révoque également les grants de refresh token associés à cette session et correspondant aux filtres sélectionnés. Les détails de la session active indiquent le nom et le type de la méthode d’authentification qui a créé la session.

La suppression d’un environnement supprime ses sessions actives et ses grants de refresh token. La suppression d’un tenant supprime les mêmes données de tous ses environnements.

Les grants de refresh token ont une durée maximale d’inactivité et une durée de vie absolue d’un an. Chaque renouvellement utilise les paramètres de durée de vie actuels de l’application, y compris les modifications effectuées après l’émission du grant. La durée de vie absolue est mesurée à partir de la création initiale du grant ; le renouvellement et la rotation des tokens conservent ce point de départ. Chaque renouvellement réussi renouvelle la durée d’inactivité dans la limite absolue. Un grant ayant atteint sa durée de vie absolue est rejeté et supprimé lors de son utilisation.

Lorsqu’un refresh token est émis ou renouvelé, FoxIDs conserve la session active associée pendant la durée de vie restante actuelle du token. Si plusieurs grants de refresh token partagent une session, celle-ci est conservée jusqu’à l’échéance requise la plus tardive. La connexion via FoxIDs avec une session utilisateur existante peut prolonger la session active selon les paramètres de session de la méthode d’authentification, sans renouveler le grant de refresh token. L’activité des refresh tokens ne prolonge pas la session de connexion de l’utilisateur dans le navigateur. La session active peut rester disponible pour les refresh tokens après l’expiration de la session de connexion dans le navigateur. Une révocation explicite invalide la session et les grants associés.

Verrouillage en cas d'échecs de connexion

FoxIDs comptabilise les tentatives de connexion infructueuses pour chaque identifiant utilisateur et chaque type d'échec. Lorsque la limite est atteinte au cours de la période configurée, toute nouvelle tentative est bloquée pendant la durée du verrouillage. L'utilisateur est automatiquement déverrouillé à l'issue de cette période.

Directory Connector utilise les mêmes paramètres pour limiter le nombre de saisies d’e-mail, de téléphone ou de nom d’utilisateur dans une séquence de connexion. Tous les identifiants de la séquence partagent la limite. Lorsqu’elle est atteinte, il faut attendre la fin du blocage ou démarrer une nouvelle séquence.

Le verrouillage s'applique à l'authentification des utilisateurs via les méthodes connexion et connexion externe, y compris les échecs de vérification du mot de passe, du code à usage unique et de la MFA.

Cette fonctionnalité de sécurité permet de prévenir les attaques par force brute sur les comptes utilisateurs. Configurez le nombre maximal de tentatives, la durée autorisée pour les tentatives et la durée de verrouillage en fonction de vos besoins en matière de sécurité.

Dans le FoxIDs Control Client, sélectionnez l’environnement et ouvrez Users > Failing Login Lockout pour consulter les blocages actifs. Choisissez End lockout pour lever un blocage avant son expiration.

Le verrouillage est configuré dans les paramètres d'environnement de la section FoxIDs Control Client.

  1. Sélectionnez l'onglet Paramètres.
  2. Sélectionnez l'onglet Environnement.
  3. Repérez la section Verrouillage en cas d'échecs de connexion.
  4. Définissez la Limite de tentatives de connexion infructueuses, par exemple 5.
  5. Définissez la durée en secondes entre les tentatives de connexion infructueuses, par exemple 36000 pendant 10 heures.
  6. Définissez la durée de verrouillage en secondes, par exemple 3600 pendant 60 minutes. Verrouillage en cas d'échec de connexion
  7. Cliquez sur Mettre à jour.