Migrare gli utenti Active Directory a FoxIDs

Trasferisci gli utenti Active Directory (AD) e gli accessi alle applicazioni a FoxIDs mantenendo AD come directory utenti, sposta gradualmente la convalida delle password in FoxIDs oppure importa gli utenti e consenti loro di scegliere una nuova password.

Questa guida tecnica riguarda gli utenti di Active Directory Domain Services (AD DS), le loro password e i loro account applicativi. La guida a Directory Connector per Active Directory descrive i passaggi di installazione e configurazione.

Preparare la destinazione e le applicazioni

Un ambiente di test dedicato permette di provare l’approccio scelto con un piccolo gruppo di utenti e un’applicazione prima del passaggio in produzione.

1. Se vuoi usare un dominio personalizzato, configuralo prima di collegare applicazioni o provider di identità esterni. Una successiva modifica del dominio richiede l’aggiornamento delle configurazioni esterne che utilizzano gli URL di FoxIDs.
2. Ogni ambiente dispone di un metodo di autenticazione Login predefinito chiamato login. Personalizza branding e interfaccia di accesso e abilita gli identificatori di accesso necessari, come e-mail o nome utente.
3. Registra le applicazioni in FoxIDs e configura gli URL di reindirizzamento, il comportamento di disconnessione e i claim necessari. Il bridge di protocollo supporta applicazioni che utilizzano protocolli diversi durante la transizione.

FoxIDs può applicare l’autenticazione a più fattori agli utenti che accedono tramite Login, inclusi quelli le cui password vengono convalidate in AD. FoxIDs Cloud fornisce l’invio di e-mail e SMS in base al piano FoxIDs Cloud selezionato.

Mantenere AD come directory

Installa Directory Connector per Active Directory su un server Windows/IIS che possa raggiungere i controller di dominio. FoxIDs comunica con il connettore tramite HTTPS. Configura la ricerca degli utenti in AD, gli attributi restituiti e gli eventuali claim di gruppo utilizzati dalle applicazioni.

Abilita il connettore in Settings > Environment > Directory connector settings, utilizzando l’URL della sua API e il suo segreto. Nel metodo di autenticazione Login, abilita l’autenticazione tramite password e gli identificatori restituiti dal connettore. Disabilita la creazione di utenti in Login; i nuovi utenti vengono creati in AD e sottoposti a provisioning in FoxIDs tramite il connettore.

Quando un utente inserisce il proprio identificatore, FoxIDs recupera il suo account AD corrente e crea o aggiorna l’utente interno FoxIDs. Il connettore utilizza l’objectGUID di AD per mantenere il collegamento all’account quando cambiano gli identificatori di accesso. L’autenticazione tramite password convalida la password inserita in AD. Questo approccio non richiede un’importazione CSV.

AD continua a gestire le password e i dati utente restituiti dal connettore. FoxIDs può mantenere questa connessione come integrazione permanente. La copia locale della password, facoltativa, consente una migrazione successiva; non viene utilizzata per l’autenticazione mentre il connettore è abilitato.

Migrare le password gradualmente

Inizia con la configurazione del connettore descritta sopra e mantieni Save local password abilitato, come previsto dall’impostazione predefinita. La transizione funziona così:

1. Gli utenti accedono tramite FoxIDs Login con le password AD esistenti.
2. Dopo la convalida della password, FoxIDs memorizza un hash locale sullo stesso utente interno. Anche le modifiche e le reimpostazioni della password completate tramite FoxIDs aggiornano l’hash locale.
3. Disabilita Directory Connector nelle impostazioni dell’ambiente per passare alla convalida locale delle password in FoxIDs. Gli utenti FoxIDs esistenti e le password salvate rimangono disponibili.

Directory Connector viene configurato per l’intero ambiente, quindi la sua disabilitazione sposta l’ambiente alla convalida locale. Dopo il passaggio, utenti, password e modifiche agli accessi vengono gestiti in FoxIDs; le modifiche in AD non aggiornano più questi utenti tramite il connettore.

La copia locale della password riflette l’ultima convalida, modifica o reimpostazione completata correttamente tramite FoxIDs. Una successiva modifica eseguita solo in AD diventa disponibile localmente quando l’utente si autentica nuovamente con quella password tramite FoxIDs.

Gli utenti non ancora sottoposti a provisioning possono essere importati con l’approccio CSV descritto di seguito. Gli utenti esistenti senza una copia locale della password possono usare Password dimenticata? dopo il passaggio, con la reimpostazione tramite e-mail o SMS abilitata nel metodo di autenticazione Login. Il recupero utilizza i loro account FoxIDs esistenti.

Puoi provare la transizione in un ambiente di test accedendo con un utente AD, disabilitando il connettore e avviando un nuovo accesso con password. La stessa password viene quindi convalidata localmente. Un utente senza una password salvata può invece completare il flusso configurato di impostazione o recupero della password.

Importare utenti per impostare una password

Per passare direttamente a utenti locali FoxIDs, recupera gli utenti AD selezionati e converti i loro attributi nel formato CSV di Seed Tool. Il comando Microsoft Get-ADUser consente di selezionare gli utenti tramite filtro o base di ricerca e di recuperare gli attributi necessari.

Mappa i dati necessari all’applicazione:

Conserva l’objectGUID di AD e l’associazione con l’account applicativo esistente nella mappatura di migrazione. Imposta EmailVerified in base allo stato di verifica noto; un attributo e-mail in AD non dimostra da solo tale stato.

Abilita l’accesso tramite e-mail, l’autenticazione con password e l’impostazione della password tramite e-mail nel metodo di autenticazione Login. Salva il CSV in UTF-8 con intestazioni che distinguono maiuscole e minuscole e punto e virgola come separatore. Questo esempio importa un utente fittizio senza password:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Configura FoxIDs Seed Tool, imposta SeedSettings.UsersSvcPath sul file CSV e seleziona U per caricare gli utenti. Lo strumento carica gli utenti in blocco nell’ambiente FoxIDs configurato tramite la Control API.

Al primo accesso, l’utente riceve un codice e-mail, lo inserisce nella pagina di accesso e sceglie una nuova password. La password viene impostata durante l’accesso; il caricamento del CSV crea soltanto gli account. La nuova password viene gestita in FoxIDs indipendentemente da AD.

Conservare gli account applicativi

FoxIDs crea un proprio ID utente persistente sia per gli utenti sottoposti a provisioning tramite il connettore sia per quelli importati da CSV. Il collegamento alla directory AD non rende automaticamente l’identificatore esistente di un’applicazione il suo FoxIDs sub o SAML NameID.

Mantieni l’associazione tra l’utente AD e l’account applicativo esistente. Se un’applicazione si aspetta un valore subject esistente, rendilo disponibile come claim dell’utente e configura una trasformazione dei claim nel metodo di autenticazione Login per produrre il sub richiesto. Per le applicazioni SAML, configura il NameID e il formato necessari nella registrazione dell’applicazione SAML. Le applicazioni che identificano gli account tramite issuer e subject devono anche associare l’issuer di FoxIDs agli account esistenti.

Dopo la disabilitazione del connettore, le modifiche a gruppi e attributi utilizzati per l’accesso alle applicazioni vengono gestite in FoxIDs o nell’applicazione. Un accesso di prova permette di esaminare il subject risultante, i ruoli e l’associazione dell’account.

Trasferire le applicazioni da AD FS

Se le applicazioni utilizzano attualmente AD FS, FoxIDs può connettersi ad AD FS con SAML 2.0 mentre vengono trasferite a FoxIDs. In questa fase AD FS rimane il provider di identità.

Le applicazioni possono successivamente utilizzare FoxIDs Login con Directory Connector per autenticarsi direttamente in AD, oppure utilizzare utenti locali FoxIDs dopo la migrazione. AD può rimanere la directory quando AD FS viene rimosso dal flusso di accesso alle applicazioni.

Un accesso tramite AD FS non fornisce a FoxIDs la password dell’utente. La migrazione graduale delle password avviene quindi quando gli utenti accedono tramite FoxIDs Login e Directory Connector. Mantieni l’associazione dell’account applicativo nel passaggio tra questi metodi di autenticazione.

Documentazione correlata

• Panoramica della migrazione
• Directory Connector per Active Directory
• Directory Connector e copie locali delle password
• Caricare molti utenti
• Configurazione dell’accesso
• Connettersi ad AD FS con SAML 2.0