Migrer Active Directory brukere til FoxIDs

Flytt Active Directory (AD) brukere og applikasjonspålogginger til FoxIDs mens AD beholdes som brukerkatalog, flytt passordvalideringen gradvis til FoxIDs, eller importer brukere og la dem velge et nytt passord.

Denne tekniske veiledningen dekker brukere i Active Directory Domain Services (AD DS), passordene deres og applikasjonskontoene. Veiledningen for Directory Connector for Active Directory beskriver installasjon og konfigurasjon.

Forbered målmiljøet og applikasjonene

Et eget testmiljø gjør det mulig å prøve fremgangsmåten med en liten gruppe brukere og en applikasjon før overgangen til produksjon.

1. Hvis du vil ha et egendefinert domene, konfigurerer du det før applikasjoner eller eksterne identitetsleverandører kobles til. Hvis domenet endres senere, må de eksterne konfigurasjonene som bruker FoxIDs URL-er, oppdateres.
2. Hvert miljø har en standard Login autentiseringsmetode kalt login. Tilpass merkevarebygging og påloggingsgrensesnitt, og aktiver nødvendige påloggingsidentifikatorer, for eksempel e-post eller brukernavn.
3. Registrer applikasjonene i FoxIDs, og konfigurer omdirigerings-URL-er, utloggingsatferd og nødvendige claims. Protokollbro støtter applikasjoner med ulike protokoller under overgangen.

FoxIDs kan bruke flerfaktorautentisering for brukere som logger på gjennom Login, inkludert brukere med passord som valideres mot AD. FoxIDs Cloud tilbyr levering av e-post og SMS avhengig av valgt FoxIDs Cloud plan.

Behold AD som katalog

Installer Directory Connector for Active Directory på en Windows/IIS-server som har tilgang til domenekontrollerne. FoxIDs kommuniserer med koblingen over HTTPS. Konfigurer brukeroppslag i AD, returnerte attributter og eventuelle gruppeclaims som applikasjonene bruker.

Aktiver koblingen under Settings > Environment > Directory connector settings med dens API-URL og hemmelighet. Aktiver passordautentisering og identifikatorene koblingen returnerer, på Login autentiseringsmetoden. Deaktiver brukeropprettelse på Login; nye brukere opprettes i AD og klargjøres i FoxIDs gjennom koblingen.

Når en bruker angir identifikatoren sin, henter FoxIDs den gjeldende AD-kontoen og oppretter eller oppdaterer den interne FoxIDs brukeren. Koblingen bruker ADs objectGUID til å beholde kontotilknytningen når påloggingsidentifikatorer endres. Passordautentisering validerer det oppgitte passordet mot AD. Denne fremgangsmåten krever ikke CSV-import.

AD fortsetter å administrere passord og brukerdataene koblingen returnerer. FoxIDs kan beholde forbindelsen som en permanent integrasjon. Den valgfrie lokale passordkopien støtter en senere migrering; den brukes ikke til autentisering mens koblingen er aktivert.

Migrer passord gradvis

Start med konfigurasjonen av koblingen ovenfor, og behold Save local password aktivert, som er standardinnstillingen. Overgangen fungerer slik:

1. Brukerne logger på gjennom FoxIDs Login med sine eksisterende AD-passord.
2. Etter vellykket passordvalidering lagrer FoxIDs en lokal passordhash på samme interne bruker. Passordendringer og tilbakestillinger som fullføres gjennom FoxIDs, oppdaterer også den lokale hashen.
3. Deaktiver Directory Connector i miljøinnstillingene for å bytte til lokal passordvalidering i FoxIDs. Eksisterende FoxIDs brukere og lagrede passord er fortsatt tilgjengelige.

Directory Connector konfigureres for hele miljøet, så deaktivering bytter miljøet til lokal validering. Etter byttet administreres brukere, passord og tilgangsendringer i FoxIDs; endringer i AD oppdaterer ikke lenger disse brukerne gjennom koblingen.

Den lokale passordkopien gjenspeiler den siste vellykkede passordvalideringen, endringen eller tilbakestillingen gjennom FoxIDs. En senere passordendring som bare gjøres i AD, blir tilgjengelig lokalt neste gang brukeren autentiserer seg med dette passordet gjennom FoxIDs.

Brukere som ennå ikke er klargjort, kan importeres med CSV-fremgangsmåten nedenfor. Eksisterende brukere uten en lokal passordkopi kan bruke Glemt passordet? etter byttet, med tilbakestilling via e-post eller SMS aktivert på Login autentiseringsmetoden. Gjenopprettingen bruker deres eksisterende FoxIDs kontoer.

Du kan prøve overgangen i et testmiljø ved å logge på med en AD-bruker, deaktivere koblingen og starte en ny passordpålogging. Det samme passordet autentiserer da lokalt. En bruker uten et lagret passord kan i stedet fullføre den konfigurerte flyten for opprettelse eller gjenoppretting av passord.

Importer brukere for opprettelse av passord

Ved en direkte overgang til lokale FoxIDs brukere henter du de valgte AD-brukerne og konverterer attributtene deres til CSV-formatet for Seed Tool. Microsofts kommando Get-ADUser støtter valg av brukere med filter eller søkebase og henting av nødvendige attributter.

Tilordne dataene applikasjonen trenger:

Behold ADs objectGUID og tilknytningen til den eksisterende applikasjonskontoen i migreringstilordningen. Sett EmailVerified ut fra kjent verifiseringsstatus; et e-postattributt i AD fastslår ikke denne statusen alene.

Aktiver e-postpålogging, passordautentisering og opprettelse av passord via e-post på Login autentiseringsmetoden. Lagre CSV-filen som UTF-8 med kolonneoverskrifter som skiller mellom store og små bokstaver, og semikolon som skilletegn. Dette eksemplet importerer en fiktiv bruker uten passord:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Konfigurer FoxIDs Seed Tool, sett SeedSettings.UsersSvcPath til CSV-filen, og velg U for å laste opp brukerne. Verktøyet masselaster brukerne inn i det konfigurerte FoxIDs miljøet gjennom Control API.

Ved første pålogging mottar brukeren en e-postkode, angir den på påloggingssiden og velger et nytt passord. Passordet opprettes under pålogging; opplastingen av CSV-filen oppretter bare kontoene. Det nye passordet administreres i FoxIDs uavhengig av AD.

Behold applikasjonskontoer

FoxIDs oppretter sin egen permanente bruker-ID for både brukere klargjort gjennom koblingen og brukere importert fra CSV. Tilknytningen til AD-katalogen gjør ikke automatisk applikasjonens eksisterende identifikator til dens FoxIDs sub eller SAML NameID.

Behold tilknytningen mellom AD-brukeren og den eksisterende applikasjonskontoen. Når en applikasjon forventer en eksisterende subject-verdi, gjør du den tilgjengelig som en brukerclaim og konfigurerer en claim-transformasjon på Login autentiseringsmetoden for å lage nødvendig sub. For applikasjoner med SAML konfigurerer du nødvendig NameID og format på applikasjonsregistreringen for SAML. Applikasjoner som identifiserer kontoer med issuer og subject, må også knytte FoxIDs issuer til de eksisterende kontoene.

Etter at koblingen er deaktivert, vedlikeholdes endringer i grupper og attributter som brukes for applikasjonstilgang, i FoxIDs eller applikasjonen. En testpålogging lar deg se resulterende subject, roller og kontotilknytning.

Flytt applikasjoner fra AD FS

Hvis applikasjonene i dag bruker AD FS, kan FoxIDs koble til AD FS med SAML 2.0 mens applikasjonene flyttes til FoxIDs. AD FS fortsetter som identitetsleverandør i denne fasen.

Applikasjonene kan senere bruke FoxIDs Login med Directory Connector for å autentisere direkte mot AD, eller bruke lokale FoxIDs brukere etter migreringen. AD kan fortsette som katalog når AD FS fjernes fra applikasjonenes påloggingsflyt.

En pålogging gjennom AD FS gir ikke FoxIDs brukerens passord. Gradvis passordmigrering skjer derfor når brukerne logger på gjennom FoxIDs Login og Directory Connector. Behold applikasjonens kontotilknytning ved bytte mellom disse autentiseringsmetodene.

Relatert dokumentasjon

• Migreringsoversikt
• Directory Connector for Active Directory
• Directory Connector og lokale passordkopier
• Last opp mange brukere
• Påloggingskonfigurasjon
• Koble til AD FS med SAML 2.0