Utenti interni
Gli utenti interni possono autenticarsi in uno o piu metodi di autenticazione login in un ambiente. Questo rende possibile personalizzare l'esperienza di accesso per diversi requisiti di applicazione.
Carica i tuoi utenti da un file CSV, con o senza password.
Per una panoramica dei concetti utente, come utenti interni, utenti esterni e archivi utenti esterni, consulta la panoramica utenti.
Agli utenti interni possono anche essere assegnate membership della struttura di accesso per modellare accessi gerarchici e risolvere i claim di accesso durante il login.
Identificatori utente
Gli utenti interni supportano tre identificatori utente: email, numero di telefono e username. Questi identificatori formano la credenziale, cioe la parte username quando un utente accede con username e password.
Puoi abilitare uno, due o tutti e tre gli identificatori nel metodo di autenticazione login. Se è abilitato più di un identificatore, l'utente può accedere con qualsiasi identificatore abilitato. Gli identificatori definiti su un utente ma disabilitati nel metodo di autenticazione login vengono salvati sull'utente, ma non possono essere usati per accedere tramite quel metodo di login.
Solo numero di telefono come identificatore utente.
Email, numero di telefono e username come identificatori utente.
Verifica password
Gli utenti interni possono autenticarsi con una password. La password viene validata rispetto alla policy password integrata (predefinita o gruppo di policy) e, facoltativamente, a una external password API.
Puoi anche abilitare Directory Connector per l'ambiente. In tal caso, l'autenticazione della password e il ciclo di vita della password vengono delegati a una directory esterna autorevole mentre gli utenti rimangono utenti interni in FoxIDs.
Criteri password integrati e scadenza
La policy password predefinita viene configurata nelle impostazioni dell'ambiente in FoxIDs Control Client e si applica quando all'utente non è assegnato alcun gruppo di policy password.
- Selezionare la scheda Impostazioni.
- Selezionare la scheda Ambiente.
- Individuare la sezione Impostazioni password.
- Configurare il campo Criteri predefiniti per la password:
- Lunghezza minima della password e Lunghezza massima della password definiscono l’intervallo consentito.
- Verifica della varietà e della ripetizione dei caratteri della password richiede la presenza di almeno tre dei seguenti gruppi di caratteri: lettere minuscole, lettere maiuscole, numeri e simboli. Inoltre, la password viene rifiutata se un carattere ricorre almeno un
max(3, floor(password length / 2))e; i caratteri ripetuti non devono necessariamente essere consecutivi. - Verifica della password rispetto a e-mail, numero di telefono e nome utente controlla tutti gli identificatori utente disponibili associati all’utente. I valori delle e-mail vengono suddivisi in
@,.,-e_; i valori dei nomi utente vengono suddivisi anche in:. Nella password non devono essere presenti componenti di quattro o più caratteri. Un numero di telefono di quattro o più caratteri viene verificato dopo aver rimosso il prefisso+. I confronti non tengono conto delle maiuscole/minuscole. - Verifica della password rispetto a parole correlate agli URL rifiuta i componenti dell’host e del percorso di servizio degli URL di quattro o più caratteri dal contesto corrente FoxIDs. I confronti non tengono conto delle maiuscole e minuscole.
- Verifica del rischio della password in base alle violazioni globali delle password: rifiuta le password presenti negli elenchi di rischio. Per le distribuzioni self-hosted, consultare password a rischio.
- Caratteri vietati (senza distinzione tra maiuscole e minuscole): blocca caratteri specifici.
- Cronologia delle password (numero di password precedenti, 0 per disabilitare) impedisce il riutilizzo di password recenti.
- Durata massima della password in secondi (0 per disabilitare) impone una modifica quando una password diventa troppo vecchia.
- Periodo di tolleranza per la modifica della password in secondi (0 per disattivare) consente un periodo di tolleranza. Durante l’accesso, una password non conforme o scaduta richiede all’utente di modificarla, ma l’utente può comunque effettuare l’accesso fino alla scadenza del periodo di tolleranza.
- Fare clic su Aggiorna.
I controlli relativi ai tre caratteri, all'identificatore utente e al contesto URL sono indipendenti e abilitati per impostazione predefinita. Possono essere configurati separatamente sia nella politica delle password predefinita che in ciascun gruppo di politiche delle password.
Gruppi di policy password
Puoi definire fino a 10 gruppi di policy password per ambiente. Un gruppo sovrascrive la policy password predefinita per gli utenti a cui e assegnato.
- Seleziona la scheda Settings.
- Seleziona la scheda Environment.
- Trova la sezione Password settings.
- Configura il riquadro Password policy groups.
- Fai clic su Add policy group e imposta i valori della policy, che sono gli stessi campi della policy predefinita, piu un nome e un display name facoltativo.
- Fai clic su Update.
Applica un gruppo a un utente in Internal Users → modifica utente → Advanced → Password policy, oppure imposta il nome della policy password durante il provisioning tramite la Control API. Se non viene selezionato alcun gruppo, viene usata la policy predefinita dell'ambiente.
External password API
Puoi configurare facoltativamente una external password API per validare le password e/o ricevere notifiche sulle modifiche password.
Se la policy password integrata rifiuta la password, la external password API non viene chiamata. Il metodo di notifica della external password API viene chiamato solo se la password supera tutti i controlli di policy configurati.
Password o one-time password (passwordless)
Il metodo di autenticazione login e configurato per impostazione predefinita con identificatore utente piu password.
Puoi anche abilitare one-time password (OTP) via email e/o SMS per l'accesso passwordless, e puoi creare piu metodi di autenticazione login con combinazioni diverse.
Se sono abilitati sia password sia OTP, vengono offerti tutti i metodi abilitati. La UI puo anche consentire la creazione self-service dell'account.
Se e abilitato solo OTP via email:
Creare utente
A seconda della configurazione del metodo login selezionato, gli utenti possono creare un account online.
L'utente sceglie di creare un nuovo account nella pagina di login.
Questo esempio mostra il modulo di creazione utente.
La pagina e composta da elementi dinamici che possono essere personalizzati per ogni metodo login. In questo esempio il modulo contiene i campi Given name, Family name, Email e Password. Il campo Email e l'identificatore utente usato per l'accesso.
Puoi limitare la creazione di account online a domini email selezionati nella configurazione Create user del metodo login. Se non sono configurati domini email consentiti, gli utenti possono creare un account con qualsiasi indirizzo email valido. Aggiungi i domini consentiti senza @, ad esempio some-customer.dk. I valori dei domini devono essere domini lowercase senza spazi iniziali o finali. Quando sono configurati domini email consentiti, il modulo create-user deve includere esattamente un elemento dinamico Email obbligatorio contrassegnato come identificatore utente.
La restrizione del dominio viene controllata rispetto all'indirizzo email digitato dall'utente nel modulo create-user prima che vengano applicate le create-user claim transforms. Questo significa che una claim transform non può rendere valida una sign-up modificando il dominio email inviato.
Questa e la configurazione nel metodo login. Inoltre, il claim some_custom_claim viene aggiunto a ogni utente come costante tramite una claim transform.
Provisioning
Gli utenti interni possono essere creati, aggiornati ed eliminati nel Control Client oppure provisioned tramite la Control API. Puoi anche caricare molti utenti da un file CSV.
Autenticazione multifattore (MFA)
L'autenticazione a due fattori e multifattore puo essere richiesta per utente. L'utente deve quindi completare un fattore aggiuntivo e puo registrare un'app autenticatrice se non e gia registrata.
I fattori disponibili sono determinati dal metodo di autenticazione login e dai dati e dalle impostazioni dell'utente. Consulta autenticazione a due fattori e multifattore.
Puoi vedere se un'app autenticatrice e registrata, e un amministratore puo disattivarla.
Hash della password
Viene salvato solo un hash della password.
Il sottosistema di hashing supporta l'evoluzione. I metadati dell'hash, cioe algoritmo e parametri, vengono salvati con ciascun hash in modo che i vecchi hash possano ancora essere validati mentre i nuovi hash usano algoritmi o parametri piu recenti.
Algoritmo hash attualmente supportato P2HS512:10:
- HMAC (
RFC 2104) con SHA-512 (FIPS 180-4) - 10 iterazioni salvate nei metadati dell'hash, moltiplicate per 10.000 round PBKDF2 per un totale di 100.000 iterazioni
- Lunghezza salt: 64 byte
- Lunghezza chiave derivata: 80 byte
- Hash e salt vengono salvati come stringhe Base64 URL encoded, cioe Base64 senza padding
Per calcolare l'hash vengono usate librerie standard .NET.