Gebruikers van Active Directory naar FoxIDs migreren

Verplaats gebruikers van Active Directory (AD) en aanmeldingen bij applicaties naar FoxIDs terwijl AD de gebruikersdirectory blijft, verplaats wachtwoordvalidatie geleidelijk naar FoxIDs of importeer gebruikers en laat hen een nieuw wachtwoord kiezen.

Deze technische handleiding behandelt gebruikers in Active Directory Domain Services (AD DS), hun wachtwoorden en applicatieaccounts. De handleiding voor Directory Connector voor Active Directory beschrijft de installatie en configuratie.

Aanpak	Wachtwoordbeheer	Gebruikersbeheer
AD als directory behouden	FoxIDs valideert het wachtwoord van de gebruiker bij AD via Directory Connector.	AD blijft de gezaghebbende bron voor gebruikers en de attributen die de connector teruggeeft.
Wachtwoorden geleidelijk migreren	FoxIDs slaat na geslaagde wachtwoordvalidatie bij AD een lokale wachtwoordhash op. Lokale validatie neemt het over wanneer de connector wordt uitgeschakeld.	Gebruikers worden via de connector ingericht en later in FoxIDs beheerd.
Gebruikers importeren voor het instellen van een wachtwoord	Gebruikers kiezen bij de eerste aanmelding een nieuw wachtwoord in FoxIDs met een e-mailcode.	Gebruikers worden uit CSV geïmporteerd met FoxIDs Seed Tool en beheerd in FoxIDs.

De doelomgeving en applicaties voorbereiden

In een aparte testomgeving kunt u de gekozen aanpak uitproberen met een kleine groep gebruikers en een applicatie voordat u overgaat naar productie.

Als u een aangepast domein wilt gebruiken, configureert u dit voordat u applicaties of externe identiteitsproviders aansluit. Als het domein later verandert, moeten externe configuraties die FoxIDs URL's gebruiken worden bijgewerkt.
Elke omgeving heeft een standaard authenticatiemethode Login met de naam login. Pas de huisstijl en aanmeldinterface aan en schakel de vereiste aanmeldidentificatoren in, zoals e-mail of gebruikersnaam.
Registreer de applicaties in FoxIDs en configureer de omleidings-URL's, het afmeldgedrag en de vereiste claims. Protocoloverbrugging ondersteunt applicaties die tijdens de overgang verschillende protocollen gebruiken.

FoxIDs kan multifactorauthenticatie toepassen op gebruikers die zich via Login aanmelden, ook als hun wachtwoorden bij AD worden gevalideerd. FoxIDs Cloud verzorgt de levering van e-mail en SMS afhankelijk van het gekozen FoxIDs Cloud abonnement.

AD als directory behouden

Installeer Directory Connector voor Active Directory op een Windows/IIS-server die de domeincontrollers kan bereiken. FoxIDs communiceert via HTTPS met de connector. Configureer het opzoeken van AD-gebruikers, de geretourneerde attributen en eventuele groepsclaims die de applicaties gebruiken.

Schakel de connector in onder Settings > Environment > Directory connector settings met de bijbehorende API-URL en het geheim. Schakel op de authenticatiemethode Login wachtwoordauthenticatie en de identificatoren in die de connector teruggeeft. Schakel gebruikersregistratie in Login uit; nieuwe gebruikers worden in AD aangemaakt en via de connector in FoxIDs ingericht.

Wanneer een gebruiker zijn identificator invoert, haalt FoxIDs het actuele AD-account op en maakt of actualiseert het de interne gebruiker in FoxIDs. De connector gebruikt de objectGUID uit AD om de accountkoppeling te behouden wanneer aanmeldidentificatoren veranderen. Wachtwoordauthenticatie valideert het ingevoerde wachtwoord bij AD. Voor deze aanpak is geen CSV-import nodig.

AD blijft wachtwoorden en de door de connector geretourneerde gebruikersgegevens beheren. FoxIDs kan deze verbinding als permanente integratie behouden. De optionele lokale wachtwoordkopie ondersteunt een latere migratie; deze wordt niet voor authenticatie gebruikt zolang de connector is ingeschakeld.

Wachtwoorden geleidelijk migreren

Begin met de bovenstaande connectorconfiguratie en laat Save local password ingeschakeld, zoals standaard is ingesteld. De overgang werkt als volgt:

Gebruikers melden zich via FoxIDs Login aan met hun bestaande AD-wachtwoorden.
Na geslaagde wachtwoordvalidatie slaat FoxIDs een lokale wachtwoordhash op bij dezelfde interne gebruiker. Wachtwoordwijzigingen en resets die via FoxIDs worden voltooid, werken ook de lokale hash bij.
Schakel Directory Connector uit in de omgevingsinstellingen om over te stappen op lokale wachtwoordvalidatie in FoxIDs. De bestaande gebruikers in FoxIDs en hun opgeslagen wachtwoorden blijven beschikbaar.

Directory Connector wordt voor de hele omgeving geconfigureerd. Uitschakelen laat de omgeving dus overstappen op lokale validatie. Na de overstap worden gebruikers, wachtwoorden en toegangsveranderingen in FoxIDs beheerd; wijzigingen in AD werken deze gebruikers niet meer bij via de connector.

De lokale wachtwoordkopie weerspiegelt de laatste geslaagde wachtwoordvalidatie, wijziging of reset via FoxIDs. Een latere wachtwoordwijziging die alleen in AD wordt uitgevoerd, wordt lokaal beschikbaar wanneer de gebruiker zich de volgende keer met dat wachtwoord via FoxIDs authenticeert.

Gebruikers die nog niet zijn ingericht, kunnen met de onderstaande CSV-aanpak worden geïmporteerd. Bestaande gebruikers zonder lokale wachtwoordkopie kunnen na de overstap Wachtwoord vergeten? gebruiken als wachtwoordherstel via e-mail of SMS is ingeschakeld op de authenticatiemethode Login. Herstel gebruikt hun bestaande accounts in FoxIDs.

U kunt de overgang in een testomgeving uitproberen door u aan te melden met een AD-gebruiker, de connector uit te schakelen en een nieuwe wachtwoordaanmelding te starten. Hetzelfde wachtwoord wordt dan lokaal gevalideerd. Een gebruiker zonder opgeslagen wachtwoord kan in plaats daarvan de ingestelde procedure voor het instellen of herstellen van een wachtwoord doorlopen.

Gebruikers importeren voor het instellen van een wachtwoord

Voor een directe overstap naar lokale gebruikers in FoxIDs haalt u de geselecteerde AD-gebruikers op en zet u hun attributen om naar het CSV-formaat van Seed Tool. De Microsoft-opdracht Get-ADUser ondersteunt het selecteren van gebruikers met een filter of zoekbasis en het ophalen van de vereiste attributen.

Koppel de gegevens die de applicatie nodig heeft:

AD-gegevens	Import in FoxIDs
E-mailadres, meestal `mail`	`Email`.
Gekozen aanmeldnaam, zoals `sAMAccountName` of `userPrincipalName`	`Username` als aanmelden met een gebruikersnaam nodig is.
Uitgeschakeld of verlopen account	`DisableAccount=true` als het account wordt geïmporteerd.
Voornaam, achternaam en andere applicatieattributen	De bijbehorende vermeldingen in `Claims`.
Groepslidmaatschap	De rollen of toegangstoewijzingen die de applicatie vereist.

Bewaar de objectGUID uit AD en de koppeling met het bestaande applicatieaccount in de migratiemapping. Stel EmailVerified in op basis van de bekende verificatiestatus; een e-mailattribuut in AD toont die status op zichzelf niet aan.

Schakel e-mailaanmelding, wachtwoordauthenticatie en het instellen van wachtwoorden via e-mail in op de authenticatiemethode Login. Sla de CSV op als UTF-8 met hoofdlettergevoelige kolomkoppen en puntkomma's als scheidingsteken. Dit voorbeeld importeert een fictieve gebruiker zonder wachtwoord:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Configureer FoxIDs Seed Tool, stel SeedSettings.UsersSvcPath in op het CSV-bestand en kies U om de gebruikers te uploaden. De tool laadt de gebruikers in bulk via de Control API in de geconfigureerde FoxIDs omgeving.

Bij de eerste aanmelding ontvangt de gebruiker een e-mailcode, voert deze in op de aanmeldpagina en kiest een nieuw wachtwoord. Het wachtwoord wordt tijdens het aanmelden ingesteld; het uploaden van de CSV maakt alleen de accounts aan. Het nieuwe wachtwoord wordt in FoxIDs beheerd, onafhankelijk van AD.

Applicatieaccounts behouden

FoxIDs maakt een eigen blijvende gebruikers-ID aan voor zowel gebruikers die via de connector zijn ingericht als gebruikers die uit CSV zijn geïmporteerd. De koppeling met de AD-directory maakt de bestaande identificator van een applicatie niet automatisch tot de FoxIDs sub of SAML NameID.

Behoud de koppeling tussen de AD-gebruiker en het bestaande applicatieaccount. Als een applicatie een bestaande subject-waarde verwacht, maakt u die beschikbaar als gebruikersclaim en configureert u een claimtransformatie op de authenticatiemethode Login om de vereiste sub te leveren. Voor applicaties met SAML configureert u het vereiste NameID en formaat op de applicatieregistratie voor SAML. Applicaties die accounts identificeren met issuer en subject moeten ook de FoxIDs issuer aan de bestaande accounts koppelen.

Nadat de connector is uitgeschakeld, worden wijzigingen aan groepen en attributen voor applicatietoegang bijgehouden in FoxIDs of de applicatie. Met een testaanmelding kunt u de resulterende subject-waarde, rollen en accountkoppeling bekijken.

Applicaties van AD FS verplaatsen

Als applicaties nu AD FS gebruiken, kan FoxIDs via SAML 2.0 met AD FS verbinden terwijl die applicaties naar FoxIDs worden verplaatst. AD FS blijft in deze fase de identiteitsprovider.

Applicaties kunnen later FoxIDs Login met Directory Connector gebruiken om rechtstreeks bij AD te authenticeren, of na migratie lokale gebruikers in FoxIDs gebruiken. AD kan de directory blijven wanneer AD FS uit de aanmeldprocedure van de applicatie wordt verwijderd.

Een aanmelding via AD FS geeft FoxIDs niet het wachtwoord van de gebruiker. Geleidelijke wachtwoordmigratie vindt daarom plaats wanneer gebruikers zich aanmelden via FoxIDs Login en Directory Connector. Behoud de accountkoppeling van de applicatie bij het wisselen tussen deze authenticatiemethoden.