Migreren van Auth0 naar FoxIDs

Verplaats aanmeldingen van Auth0 naar FoxIDs met de migratieaanpak die bij elke verbinding past. Importeer databasegebruikers met bcrypt wachtwoordhashes of laat hen een nieuw wachtwoord kiezen. Importeer wachtwoordloze gebruikers zonder wachtwoord en schakel eenmalige codes in. Configureer voor sociale en zakelijke aanmeldingen FoxIDs authenticatiemethoden die de externe identiteitsproviders vertrouwen.

Deze technische handleiding behandelt applicatieconfiguratie, gebruikersimport en accountkoppeling voor Auth0 databaseverbindingen, wachtwoordloze e-mail-/sms-verbindingen en sociale en zakelijke verbindingen.

Zet voor databasegebruikers en wachtwoordloze gebruikers de gecontroleerde Auth0 export om naar een CSV-bestand en gebruik de FoxIDs Seed Tool om de gebruikers in bulk in FoxIDs te laden. De onderstaande CSV-voorbeelden tonen de velden voor elke migratieaanpak.

Kies voor elke groep een methode voordat u de import voorbereidt:

Geïmporteerde gebruikers met een wachtwoord en wachtwoordloze gebruikers authenticeren lokaal in FoxIDs. Sociale en zakelijke gebruikers authenticeren bij de verbonden identiteitsprovider.

De doelomgeving en applicatie voorbereiden

In een aparte testomgeving kunt u de migratie met een kleine groep gebruikers uitproberen voordat u naar productie gaat. De configuratiestappen zijn:

1. Als u een aangepast domein wilt, configureert en verifieert u dit op de tenant voordat u applicaties en externe identiteitsproviders configureert. Gebruik de resulterende FoxIDs URL's gedurende de hele migratie. Een latere domeinwijziging vereist aanpassing van externe configuraties, waaronder de authority- of metadata-URL's van applicaties en callback- en uitlog-URL's van providers.
2. Elke omgeving heeft een standaard Login-authenticatiemethode met de naam login. Pas de huisstijl en aanmeldinterface aan voor het gewenste uiterlijk en stem de aanmeldopties af op de geïmporteerde gebruikers.
3. Maak de authenticatiemethoden die sociale en zakelijke gebruikers verbinden met hun externe identiteitsproviders, volgens het relevante migratieonderdeel hieronder.
4. Configureer de applicatie, de toegestane omleidings-URL's en het uitloggedrag, en eventuele API's die de toegangstokens accepteren.

FoxIDs Cloud biedt verzending van e-mail en sms voor wachtwoordinstelling, wachtwoordloze aanmelding en multifactorauthenticatie (MFA), afhankelijk van het gekozen FoxIDs Cloud abonnement.

Configureer de vereiste MFA-instellingen en hoe gebruikers zich registreren; de hier beschreven imports nemen geen Auth0 MFA-registraties over. Controleer voor wachtwoordaccounts de eisen voor wachtwoordlengte, complexiteit en verloop: bij hashimport wordt het wachtwoordbeleid tijdens de import niet gevalideerd, maar het gekozen beleid geldt wel bij aanmelding.

Applicatieconfiguratie is een aparte werkstroom naast gebruikersimport. Controleer issuer, audience, scopes, claims en tokenvalidatie, plus eventuele aannames in de Auth0 SDK, Actions, organisatielidmaatschap en roltoewijzingen. Implementeer opnieuw het gedrag dat de applicatie nodig heeft. De algemene migratiehandleiding behandelt de bredere applicatie-inventarisatie en uitrolstappen.

Een afgebakende groep Auth0 gebruikers exporteren

Volg de instructies van Auth0 voor bulkexport van gebruikers. Selecteer de bronverbinding expliciet met connection_id; een API-export zonder dit veld omvat alle verbindingen. Houd databasegebruikers, wachtwoordloze gebruikers en federatieve gebruikers gedurende de conversie van elkaar te onderscheiden.

Gebruik JSON-compatibele export (NDJSON) als bron voor de conversie. Auth0 CSV-exports passen extra escaping toe en zijn dus geen kant-en-klare invoer voor de FoxIDs Seed Tool. Met een kleine export kunt u de conversie naar het CSV-formaat van de Seed Tool uitproberen.

Neem user_id, blocked en de identificatiegegevens en verificatiestatus van elke verbinding op: email en email_verified, of phone_number en phone_verified voor sms-gebruikers. Bewaar voor sociale, zakelijke en gekoppelde accounts de provider, verbinding en gebruikers-ID uit identities voor accountkoppeling. Exporteer alleen de gebruikersgegevens die na migratie nodig zijn en bewaar de brontenant en bronverbinding bij de export. Raadpleeg het Auth0 gebruikersprofielschema bij de veldselectie.

Wachtwoordhashes verkrijgen als wachtwoorden behouden blijven

Vraag de wachtwoordhashexport aan bij Auth0 Support. Deze staat los van de gebruikersgegevensexport. De handleiding van Auth0 voor wachtwoordhashexport beschrijft de NDJSON-records en het veld passwordHash. Het voorbeeld $2b$10$... geeft bcrypt variant 2b en kostenfactor 10 aan.

Koppel elke hash aan de juiste gebruiker via brontenant, databaseverbinding en gebruikers-ID.

Gebruikersgegevens toewijzen en applicatieaccounts behouden

FoxIDs maakt een eigen permanente gebruikers-ID voor geïmporteerde lokale gebruikers. Een Auth0 user_id importeren als aangepaste claim maakt deze niet tot de FoxIDs gebruikers-ID en behoudt niet automatisch de sub-claim van de applicatie. Controleer bij sociale en zakelijke aanmeldingen de rechtstreeks van de provider ontvangen identiteit en het subject dat FoxIDs aan de applicatie uitgeeft.

Om de Auth0 gebruikers-ID als sub van de applicatie te behouden, importeert u deze als aangepaste claim, zoals legacy_auth0_user_id. Configureer op de Login-authenticatiemethode een Map claimtransformatie met actie Replace claim, invoerclaim legacy_auth0_user_id en uitvoerclaim sub. De applicatie ontvangt dan de Auth0 gebruikers-ID als sub, terwijl de permanente FoxIDs ID van de gebruiker ongewijzigd blijft.

Houd een koppeling bij tussen de bronidentiteit, de nieuwe FoxIDs identiteit en het bestaande applicatieaccount. De oude Auth0 identiteit en nieuwe FoxIDs identiteit moeten tijdens de overgang bijvoorbeeld naar hetzelfde klantrecord verwijzen en geen twee klantrecords maken. Controleer het daadwerkelijke subject dat aan elke applicatie wordt uitgegeven en werk de accountkoppeling waar nodig bij. Koppel accounts niet alleen omdat hun e-mailadressen overeenkomen.

Gebruik voor de import van lokale gebruikers de volgende toewijzing:

Sociale en zakelijke aanmeldingen migreren

Maak voor elke sociale of zakelijke verbinding een FoxIDs authenticatiemethode die de externe identiteitsprovider rechtstreeks vertrouwt. Gebruikers behouden hun accounts en inloggegevens bij die provider.

1. Bepaal de provider en configuratie achter elke Auth0 verbinding. Gebruik de relevante integratiehandleiding voor de provider, zoals Google, Facebook of Microsoft Entra ID, en selecteer de ondersteunde authenticatiemethode voor OpenID Connect, SAML 2.0 of WS-Federation.
2. Registreer of configureer FoxIDs bij de provider. Wissel clientinstellingen of federatiemetadata uit en configureer de callback- en uitlog-URL's uit de integratiehandleiding. Behoud de Auth0 configuratie tijdens de overgang.
3. Sta de nieuwe authenticatiemethode toe op de FoxIDs applicatie. Configureer Home Realm Discovery zodat gebruikers hun provider kunnen selecteren of via de geconfigureerde regels worden doorgestuurd.
4. Stem de provideridentiteit af op het bestaande applicatieaccount. De identificatiegegevens uit een testaanmelding kunnen met het bronaccount worden vergeleken; een Auth0 gebruikers-ID is niet noodzakelijk de identificatie die rechtstreeks aan FoxIDs wordt teruggegeven. Als u claims of toegangstoewijzingen per gebruiker in FoxIDs moet opslaan, configureert en provisioneert u externe gebruikers.
5. Herstel eventuele beperkingen die eerder door Auth0 werden afgedwongen, waaronder geblokkeerde gebruikers en organisatietoegang.

De verwachte stroom is applicatie → FoxIDs → externe identiteitsprovider → FoxIDs → applicatie. FoxIDs geeft de tokens voor de applicatie uit nadat de provider de gebruiker heeft geauthenticeerd.

U kunt elke verbinding uitproberen door vanuit de applicatie de aanmelding te starten, de provider te selecteren en de aanmeldstroom te voltooien. Zo kunt u MFA, het applicatieaccount en de rechten, en het uitloggedrag bekijken.

Wachtwoordloze gebruikers migreren

Importeer gebruikers uit de wachtwoordloze e-mail- of sms-verbindingen van Auth0 als interne FoxIDs gebruikers zonder wachtwoord. Configureer wachtwoordloze aanmelding zodat ze zich met een eenmalige code blijven aanmelden. Gebruikers die eerder een Auth0 magic link ontvingen, voeren in plaats daarvan een eenmalige code in op de al geopende aanmeldpagina. Zo hoeven zij geen aanmeldlinks in e-mails of sms-berichten te volgen.

1. Schakel e-mail of telefoon in als aanmeldidentificatie op de authenticatiemethode FoxIDs Login en activeer waar van toepassing Passwordless with email (one-time password) of Passwordless with SMS (one-time password).
2. Selecteer voor een aanmeldmethode voor wachtwoordloze gebruikers Disable password authentication en schakel wachtwoordinstelling/-herstel via e-mail en sms uit. Zo blijft de aanmeldstroom gericht op eenmalige codes.
3. Importeer de gebruikers zonder Password en zonder alle wachtwoordhashvelden. Houd SetPasswordEmail, SetPasswordSms en ChangePassword op false zodat gebruikers geen wachtwoord hoeven te kiezen. Behoud verificatiestatus, uitgeschakelde status en vereiste claims.

Om wachtwoordloze aanmelding uit te proberen, kunt u de aanmelding starten met het e-mailadres of telefoonnummer van een geïmporteerde testgebruiker en de ontvangen code invoeren. Met een geldige code kan een ingeschakelde gebruiker via eventuele verplichte MFA doorgaan naar de applicatie; ongeldige of verlopen codes en uitgeschakelde accounts geven geen toegang.

Deze CSV voor de Seed Tool importeert bijvoorbeeld een fictieve gebruiker met wachtwoordloze e-mailaanmelding:

Email;EmailVerified;SetPasswordEmail;SetPasswordSms;ChangePassword;DisableAccount
alice@example.com;true;false;false;false;false

Vervang voor sms-gebruikers Email en EmailVerified door Phone en PhoneVerified, met het gecontroleerde telefoonnummer en de verificatiestatus. Dezelfde uploadprocedure geldt. Na succesvolle wachtwoordloze aanmelding blijft de gebruiker zonder wachtwoord.

Gebruikers met bcrypt wachtwoordhashes importeren

FoxIDs accepteert volledige bcrypt tekenreeksen met de prefixen $2a$, $2b$ of $2y$ en kostenfactoren van 4 tot 16. Gebruik voor gebruikers met hashes buiten het ondersteunde formaat wachtwoordinstelling via e-mail.

Schakel voor deze gebruikers e-mailaanmelding en wachtwoordauthenticatie in op de authenticatiemethode FoxIDs Login.

Kopieer elke gekoppelde Auth0 passwordHash-waarde naar de CSV-kolom PasswordHash en stel PasswordHashAlgorithm in op bcrypt. Behoud de volledige hashtekenreeks, inclusief variant, kostenfactor en ingebouwde salt. Deze is al voor bcrypt gecodeerd. Zie wachtwoordhashformaten en het Control API-contract voor wachtwoordimport.

Gebruik voor de Seed Tool de volgende kolommen. Dit is een synthetisch testaccount; vervang het door uw gecontroleerde export:

Email;EmailVerified;PasswordHashAlgorithm;PasswordHash;SetPasswordEmail;ChangePassword;DisableAccount
alice@example.com;true;bcrypt;$2b$10$..CA.uOD/eaGAOmJB.yMBu3YunYvFEoaS5IJZ/wiqfQ/EWx.HaqjC;false;false;false

Laat Password en PasswordHashSalt weg. Houd SetPasswordEmail, SetPasswordSms en ChangePassword op false als de gebruiker het bestaande wachtwoord moet blijven gebruiken. Behoud uitgeschakelde status, verificatiestatus, claims en MFA-eisen uit de gecontroleerde toewijzing. Neem PasswordLastChanged op als u het oorspronkelijke wijzigingstijdstip kent, in Unix-seconden; anders registreert FoxIDs het importtijdstip voor controles op wachtwoordleeftijd.

Dezelfde uploadprocedure geldt voor alle imports van lokale gebruikers. Bulkprovisioning kan een bestaand account en de inloggegevens vervangen, ongeacht het gekozen wachtwoordformaat.

Met een geïmporteerde testgebruiker kunt u aanmelden met het oorspronkelijke wachtwoord en vervolgens met een onjuist wachtwoord. Het oorspronkelijke wachtwoord authenticeert de gebruiker volgens het ingestelde wachtwoordbeleid en MFA; een onjuist wachtwoord of uitgeschakeld account geeft geen toegang. Wachtwoordwijziging en herstel kunnen ook via de ingestelde aanmeldinterface worden uitgeprobeerd.

De geïmporteerde hash blijft na aanmelding bcrypt. Een in FoxIDs ingesteld of gewijzigd wachtwoord wordt opgeslagen in het standaard PBKDF2-formaat van FoxIDs. De wachtwoordgeschiedenis blijft hergebruik volgens het gekozen beleid voorkomen, ook als een oude bcrypt hash na een wachtwoordreset bewaard blijft.

Gebruikers importeren voor wachtwoordinstelling

Gebruik deze methode voor accounts die een nieuw wachtwoord kiezen in plaats van een hash te importeren. Schakel e-mailaanmelding, wachtwoordauthenticatie en wachtwoordinstelling via e-mail in op de authenticatiemethode FoxIDs Login. Volg voor gebruikers die zonder wachtwoord moeten doorgaan Wachtwoordloze gebruikers migreren.

De gebruikersimport bereidt de accounts voor. Wachtwoordinstelling vindt plaats wanneer elke gebruiker een aanmelding start, niet tijdens de import.

Zet de gecontroleerde records om naar een UTF-8-bestand voor de FoxIDs Seed Tool. Kolomkoppen zijn hoofdlettergevoelig en het scheidingsteken is een puntkomma. Dit voorbeeld bevat fictieve gebruikers met eerder geverifieerde e-mailadressen; het tweede account blijft uitgeschakeld:

Email;EmailVerified;SetPasswordEmail;DisableAccount;RequireMultiFactor;Claims
alice@example.com;true;true;false;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-001""]}]"
blocked@example.com;true;true;true;true;"[{""Claim"":""legacy_auth0_user_id"",""Values"":[""auth0|demo-002""]}]"

SetPasswordEmail=true kiest wachtwoordinstelling met e-mailbevestiging. Laat Password en alle wachtwoordhashkolommen weg. U heeft voor deze stroom geen tijdelijk gedeeld wachtwoord of ChangePassword nodig. RequireMultiFactor=true is het gekozen beleid in het voorbeeld en vereist configuratie van de bijbehorende MFA-methoden.

Geef de voorbeeldclaim legacy_auth0_user_id alleen via de ingestelde claimverwerking door aan applicaties die deze nodig hebben.

Gebruikers uploaden en het resultaat bekijken

Gebruik deze uploadprocedure voor gebruikers met bcrypt hashes, wachtwoordloze gebruikers en gebruikers die bij de eerste aanmelding een wachtwoord kiezen, met de velden die bij de gekozen methode horen.

De Seed Tool splitst velden op puntkomma's; velden tussen aanhalingstekens kunnen geen puntkomma's of regeleinden bevatten. Gebruik de gebruikersbewerkingen van de Control API als uw waarden een uitgebreidere importrepresentatie nodig hebben.

1. Download en configureer de Seed Tool voor de bedoelde omgeving. Stel SeedSettings.UsersSvcPath in op het geconverteerde CSV-bestand.
2. Voer de Seed Tool uit en selecteer U om de gebruikers in bulk te uploaden.
3. Leg de nieuwe gebruikers-ID's vast in uw migratiekoppeling.

U kunt de upload met een CSV-bestand met enkele gebruikers in een testomgeving uitproberen. De Seed Tool rapporteert het aantal geslaagde en mislukte bewerkingen. In FoxIDs Control kunt u de identificatiegegevens, uitgeschakelde status, claims en wachtwoordinstellingsvlaggen van de geïmporteerde gebruikers bekijken.

De Seed Tool gebruikt bulkprovisioning, die bestaande gebruikers kan vervangen in plaats van veilig samenvoegen. Controleer op conflicten vóór de upload. Voer het volledige bestand niet opnieuw uit nadat gebruikers wachtwoorden hebben ingesteld of toegang hebben gekregen: vervanging kan inloggegevens en status verwijderen en nieuwe gebruikers-ID's maken. Stem een gedeeltelijk voltooide import af voordat u opnieuw probeert; verwerk latere wijzigingen via gecontroleerde, gerichte gebruikersupdates.

Wachtwoordinstelling bij de eerste aanmelding

Voor een ingeschakelde geïmporteerde gebruiker met SetPasswordEmail=true is de verwachte stroom:

1. De gebruiker opent de applicatie en start de aanmelding via FoxIDs Login.
2. FoxIDs identificeert de gebruiker aan de hand van het e-mailadres en stuurt een bevestigingscode.
3. De gebruiker verzendt de code en een nieuw wachtwoord dat aan het FoxIDs wachtwoordbeleid voldoet.
4. FoxIDs verifieert het e-mailadres, slaat het wachtwoord op en wist de wachtwoordinstellingsvlaggen. De aanmelding doorloopt eventuele verplichte MFA-stappen voordat de gebruiker terugkeert naar de applicatie.

Een gebruiker importeren verzendt geen instellingsmail. Latere wachtwoordaanmeldingen gebruiken het nieuwe FoxIDs wachtwoord, niet het eerdere Auth0 wachtwoord. Als een gebruiker de code niet kan ontvangen, gebruikt u een goedgekeurd herstelproces dat de identiteit verifieert.

U kunt de stroom met een testgebruiker verkennen via de bovenstaande aanmeldstappen. Deze scenario's tonen de verwachte resultaten:

Uitrollen en een terugkeerpad behouden

De migratie kan per applicatie of gebruikersgroep worden uitgerold. Gebruikers kunnen via hun gebruikelijke applicatie-URL doorgaan met de ingestelde aanmeldstroom: het bestaande wachtwoord, wachtwoordinstelling, een eenmalige code of de bestaande externe identiteitsprovider.

Stem vóór elke productie-import gebruikers af die sinds de export zijn aangemaakt, gewijzigd, geblokkeerd of verwijderd. Definieer een korte wijzigingsstop of een ander gecontroleerd afstemmingsproces. Overschrijf geen al gemigreerde gebruikers om deze wijzigingen door te voeren.

Bewaak e-mail- en sms-bezorging, instellingsfouten, aanmeldfouten en problemen met accountkoppeling. Houd bij hashimports rekening met wachtwoordwijzigingen in Auth0 na de export, zodat gebruikers niet aankomen met een wachtwoord dat afwijkt van de geïmporteerde hash. Terugdraaien vereist dat de eerdere Auth0 configuratie beschikbaar blijft. U kunt die configuratie voor een testapplicatie herstellen om de terugkeer naar de Auth0 aanmeldstroom te bekijken.

Een in FoxIDs ingesteld wachtwoord wordt niet teruggesynchroniseerd naar Auth0. Bij terugdraaien worden daarom de inloggegevens gebruikt die nog bij Auth0 staan. Bepaal hoe gebruikers die alleen in FoxIDs zijn aangemaakt via Auth0 toegang krijgen als terugdraaien nodig is. Bewaar voor wachtwoordloze en federatieve aanmeldingen de Auth0 bezorginstellingen en providerverbindingen die nodig zijn om de eerdere stroom te herstellen. Faseer de oude integratie pas uit en verwijder bewaarde exportbestanden pas nadat accounttoegang en operationele ondersteuning zijn geaccepteerd.

Gerelateerde documentatie

• Migratieoverzicht
• Veel gebruikers uploaden
• Gebruikersbewerkingen van de Control API
• Aanmelding en Home Realm Discovery
• E-mailprovider
• Toepassingen