Migreren van Okta naar FoxIDs

Verplaats aanmeldingen van Okta naar FoxIDs met de migratieaanpak die past bij waar elke gebruikersgroep authenticeert. Importeer lokale gebruikers en laat hen een nieuw wachtwoord kiezen, of schakel wachtwoordloze aanmelding met eenmalige codes in. Configureer voor sociale en zakelijke aanmeldingen FoxIDs authenticatiemethoden die de externe identiteitsproviders vertrouwen. Okta kan ook identiteitsprovider blijven terwijl applicaties naar FoxIDs verhuizen.

Deze technische handleiding behandelt gebruikers in Okta Universal Directory, applicatieconfiguratie en accountkoppeling voor Okta Identity Engine en Classic Engine.

Zet voor lokale gebruikersimport de gecontroleerde Okta export om naar een CSV-bestand en gebruik de FoxIDs Seed Tool om de gebruikers in bulk in FoxIDs te laden. De onderstaande CSV-voorbeelden tonen de velden voor wachtwoordinstelling en wachtwoordloze aanmelding.

Kies voor elke groep een aanpak:

De doelomgeving en applicatie voorbereiden

In een aparte testomgeving kunt u de migratie met een kleine groep gebruikers uitproberen voordat u naar productie gaat. De configuratiestappen zijn:

1. Als u een aangepast domein wilt, configureert en verifieert u dit op de tenant voordat u applicaties en externe identiteitsproviders configureert. Gebruik de resulterende FoxIDs URL's gedurende de hele migratie. Een latere domeinwijziging vereist aanpassing van externe configuraties, waaronder de authority- of metadata-URL's van applicaties en callback- en uitlog-URL's van providers.
2. Elke omgeving heeft een standaard Login-authenticatiemethode met de naam login. Pas de huisstijl en aanmeldinterface aan voor het gewenste uiterlijk en stem de aanmeldopties af op de geïmporteerde gebruikers.
3. Maak de authenticatiemethoden die gebruikers verbinden met hun externe identiteitsproviders, inclusief Okta als dit deel blijft uitmaken van de overgang.
4. Configureer de applicatie, de toegestane omleidings-URL's en het uitloggedrag, en eventuele API's die de toegangstokens accepteren.

FoxIDs Cloud biedt verzending van e-mail en sms voor wachtwoordinstelling, wachtwoordloze aanmelding en multifactorauthenticatie (MFA), afhankelijk van het gekozen FoxIDs Cloud abonnement.

Configureer de vereiste MFA-instellingen en hoe gebruikers zich registreren. De hier beschreven CSV-imports dragen gebruikersgegevens over, geen Okta Verify registraties, FastPass apparaatregistraties, passkeys of andere MFA-registraties. Gebruikers die lokaal in FoxIDs authenticeren, registreren de ingestelde authenticatiefactoren. Gebruikers die via Okta blijven authenticeren, kunnen hun Okta registraties behouden.

Applicatieconfiguratie is een aparte werkstroom naast gebruikersimport. Controleer issuer, audience, scopes, claims en tokenvalidatie, plus afhankelijkheden van de Okta SDK of Sign-In Widget, inline hooks, groepsregels en applicatietoewijzingen. Herstel het gedrag dat de applicatie nodig heeft. De algemene migratiehandleiding behandelt de bredere applicatie-inventarisatie en uitrolstappen.

Een afgebakende groep Okta gebruikers exporteren

Gebruik de Okta Users API om gebruikersgegevens als JSON op te halen voor conversie. Selecteer de bronorganisatie en de te migreren gebruikers of groepen. Volg de rel="next"-URL in de antwoordheader Link totdat alle pagina's zijn gelezen. De gewone lijstbewerking laat DEPROVISIONED-gebruikers weg; een filter- of zoekquery kan deze opnemen. Zoekresultaten zijn uiteindelijk consistent, dus recente wijzigingen kunnen enige tijd nodig hebben om te verschijnen.

Bewaar de bronorganisatie en de gebruikers-id, levenscyclus-status, benodigde profile-attributen en credentials.provider-informatie. Houd door Okta beheerde, directorygebonden en federatieve gebruikers van elkaar te onderscheiden. Providerconfiguratie en routeringsregels helpen bepalen waar gebruikers daadwerkelijk authenticeren.

Voor rapportgebaseerde export biedt het rapport User Accounts de optie CSV Export. De kolommen moeten nog steeds naar het FoxIDs Seed Tool formaat worden omgezet. De API is nuttig als de import ook aangepaste attributen of providerinformatie nodig heeft die in het rapport ontbreken.

Exporteer groepslidmaatschap en applicatietoegang afzonderlijk als ze rechten bepalen. Het rapport Group Membership en het rapport User App Access van Okta beschrijven die relaties; deze staan niet allemaal in het profile-object van de gebruiker.

Beschikbaarheid van wachtwoorden

Okta biedt alleen export van wachtwoordhashes voor migratie naar Auth0 aan, onder bepaalde voorwaarden.

FoxIDs kan ondersteunde wachtwoordhashes importeren wanneer deze beschikbaar zijn.

Gebruikersgegevens toewijzen en applicatieaccounts behouden

FoxIDs maakt een eigen permanente gebruikers-ID voor geïmporteerde lokale gebruikers. De Okta gebruikers-id importeren als aangepaste claim maakt deze niet tot de FoxIDs gebruikers-ID en behoudt niet automatisch het subject van de applicatie. Leg het daadwerkelijke OpenID Connect sub of SAML NameID van elke applicatie vast, samen met bronorganisatie en gebruikers-ID.

Als de applicatie de Okta gebruikers-ID als sub gebruikt, importeert u die ID als aangepaste claim, zoals legacy_okta_user_id. Configureer op de Login-authenticatiemethode een Map claimtransformatie met actie Replace claim, invoerclaim legacy_okta_user_id en uitvoerclaim sub. De applicatie ontvangt dan die waarde als sub, terwijl de permanente FoxIDs ID van de gebruiker ongewijzigd blijft. Gebruikt de applicatie een andere subjectwaarde, behoud en koppel dan die waarde.

Applicaties die accounts identificeren op basis van zowel issuer als subject moeten ook de nieuwe FoxIDs issuer aan bestaande accounts koppelen. Configureer voor SAML applicaties het vereiste NameID en formaat op de SAML applicatieregistratie. Een testaanmelding toont de daadwerkelijke identiteit die de applicatie ontvangt.

Houd een koppeling bij tussen de bronidentiteit, de nieuwe FoxIDs identiteit en het bestaande applicatieaccount. De tijdens de overgang gebruikte identiteiten moeten naar hetzelfde klant- of medewerkersrecord verwijzen. Neem bij sociale en zakelijke aanmeldingen de rechtstreeks van de provider ontvangen identiteit mee; deze kan afwijken van de Okta gebruikers-ID.

Gebruik voor de import van lokale gebruikers de volgende toewijzing:

Oktas levenscyclusstatussen zijn gedetailleerder dan de uitschakelvlag van FoxIDs. De voorbeelden schakelen gebruikers uit geselecteerde ACTIVE-accounts in en houden geschorste accounts uitgeschakeld. Statussen zoals STAGED, PROVISIONED, RECOVERY, PASSWORD_EXPIRED en LOCKED_OUT vereisen een expliciete toewijzing aan het gewenste activerings-, wachtwoordinstellings- of toegangsgedrag.

Sociale en zakelijke aanmeldingen migreren

Maak een FoxIDs authenticatiemethode voor elke sociale of zakelijke identiteitsprovider die momenteel via Okta verbonden is, met rechtstreeks vertrouwen in die provider. Gebruikers behouden hun accounts en inloggegevens bij de provider.

1. Bepaal de provider achter elke verbinding. Gebruik de relevante integratiehandleiding voor de provider, zoals Google of Microsoft Entra ID, en selecteer de ondersteunde authenticatiemethode voor OpenID Connect, SAML 2.0 of WS-Federation.
2. Registreer of configureer FoxIDs bij de provider. Wissel clientinstellingen of federatiemetadata uit en configureer de callback- en uitlog-URL's uit de integratiehandleiding. Behoud de Okta verbinding tijdens de overgang.
3. Sta de nieuwe authenticatiemethode toe op de FoxIDs applicatie. Configureer Home Realm Discovery zodat gebruikers hun provider kunnen selecteren of via de geconfigureerde regels worden doorgestuurd.
4. Koppel de provideridentiteit aan het bestaande applicatieaccount. Als u claims of toegangstoewijzingen per gebruiker in FoxIDs moet opslaan, configureert en provisioneert u externe gebruikers.
5. Herstel toegangsbeperkingen die eerder door Okta werden afgedwongen, waaronder applicatietoewijzingen, geschorste gebruikers en verplichte MFA.

De verwachte stroom is applicatie → FoxIDs → externe identiteitsprovider → FoxIDs → applicatie. FoxIDs geeft de tokens voor de applicatie uit nadat de provider de gebruiker heeft geauthenticeerd.

U kunt elke verbinding uitproberen door vanuit de applicatie de aanmelding te starten, de provider te selecteren en de aanmeldstroom te voltooien. Zo kunt u MFA, het applicatieaccount en de rechten, en het uitloggedrag bekijken.

Gebruikers uit Active Directory migreren

Als Okta wachtwoordauthenticatie aan Active Directory delegeert en AD de bron blijft, kan FoxIDs rechtstreeks verbinden via Directory Connector voor Active Directory. Configureer de connector en Login-authenticatiemethode volgens die handleiding. FoxIDs synchroniseert gebruikers vanuit AD en valideert wachtwoorden tegen AD, zodat deze gebruikers geen CSV-wachtwoordimport nodig hebben.

Standaard slaat FoxIDs na succesvolle Directory Connector validatie een lokale wachtwoordkopie op. Dit ondersteunt een latere overstap naar lokale FoxIDs authenticatie door de connector uit te schakelen. Gebruikers van wie het wachtwoord niet is vastgelegd, kunnen wachtwoordinstelling gebruiken. Zie het wachtwoordgedrag van Directory Connector voor configuratiekeuzes.

Een gebruiker in Okta met AD als bron authenticeert niet noodzakelijk nog tegen AD: Okta kan wachtwoordauthenticatie van AD naar Okta migreren. De directe connectoraanpak geldt wanneer AD het gebruikte wachtwoord nog bewaart en valideert.

Wachtwoordloze gebruikers migreren

Importeer gebruikers als interne FoxIDs gebruikers zonder wachtwoord en configureer wachtwoordloze aanmelding met een e-mail- of sms-code. De gebruiker voert de code in op de al geopende aanmeldpagina.

Voor gebruikers van Okta FastPass of passkeys verandert hiermee de authenticatiemethode. E-mail- en SMS-codes bieden niet dezelfde phishingbestendigheid als FastPass.

1. Schakel e-mail of telefoon in als aanmeldidentificatie op de authenticatiemethode FoxIDs Login en activeer waar van toepassing Passwordless with email (one-time password) of Passwordless with SMS (one-time password).
2. Selecteer voor een aanmeldmethode voor wachtwoordloze gebruikers Disable password authentication en schakel wachtwoordinstelling/-herstel via e-mail en sms uit.
3. Importeer de gebruikers zonder Password en zonder alle wachtwoordhashvelden. Houd SetPasswordEmail, SetPasswordSms en ChangePassword op false. Behoud de toegewezen verificatiestatus, uitgeschakelde status en vereiste claims.

Deze CSV voor de Seed Tool importeert bijvoorbeeld een fictieve gebruiker met wachtwoordloze e-mailaanmelding en een onbekende eerdere e-mailverificatiestatus:

Email;EmailVerified;SetPasswordEmail;SetPasswordSms;ChangePassword;DisableAccount;Claims
alice@example.com;false;false;false;false;false;"[{""Claim"":""legacy_okta_user_id"",""Values"":[""00u000000000DEMO001""]}]"

Vervang voor sms-gebruikers Email en EmailVerified door Phone en PhoneVerified, met het geselecteerde telefoonnummer en de bekende verificatiestatus. Dezelfde uploadprocedure geldt.

U kunt de stroom met een geïmporteerde testgebruiker uitproberen door het e-mailadres of telefoonnummer en de ontvangen code in te voeren. Met een geldige code kan een ingeschakelde gebruiker via eventuele verplichte MFA doorgaan naar de applicatie. Na succesvolle wachtwoordloze aanmelding blijft de gebruiker zonder wachtwoord.

Gebruikers importeren voor wachtwoordinstelling

Schakel e-mailaanmelding, wachtwoordauthenticatie en wachtwoordinstelling via e-mail in op de authenticatiemethode FoxIDs Login. Geïmporteerde gebruikers kiezen tijdens hun eerste aanmelding een wachtwoord.

De gebruikersimport bereidt de accounts voor. Wachtwoordinstelling vindt plaats wanneer elke gebruiker een aanmelding start, niet tijdens de import.

Zet de gecontroleerde records om naar een UTF-8-bestand voor de FoxIDs Seed Tool. Kolomkoppen zijn hoofdlettergevoelig en het scheidingsteken is een puntkomma. Dit voorbeeld bevat fictieve gebruikers met een onbekende eerdere e-mailverificatiestatus; het tweede account blijft uitgeschakeld:

Email;EmailVerified;SetPasswordEmail;DisableAccount;RequireMultiFactor;Claims
alice@example.com;false;true;false;true;"[{""Claim"":""legacy_okta_user_id"",""Values"":[""00u000000000DEMO001""]}]"
suspended@example.com;false;true;true;true;"[{""Claim"":""legacy_okta_user_id"",""Values"":[""00u000000000DEMO002""]}]"

SetPasswordEmail=true kiest wachtwoordinstelling met e-mailbevestiging. Laat Password en alle wachtwoordhashkolommen weg. RequireMultiFactor=true is het gekozen beleid in het voorbeeld en vereist configuratie van de bijbehorende MFA-methoden.

Geef de voorbeeldclaim legacy_okta_user_id alleen via de ingestelde claimverwerking door aan applicaties die deze nodig hebben.

Gebruikers uploaden en het resultaat bekijken

Gebruik deze uploadprocedure voor wachtwoordloze gebruikers en gebruikers die bij de eerste aanmelding een wachtwoord kiezen, met de velden die bij de gekozen methode horen.

De Seed Tool splitst velden op puntkomma's; velden tussen aanhalingstekens kunnen geen puntkomma's of regeleinden bevatten. Gebruik de gebruikersbewerkingen van de Control API als uw waarden een uitgebreidere importrepresentatie nodig hebben.

1. Download en configureer de Seed Tool voor de bedoelde omgeving. Stel SeedSettings.UsersSvcPath in op het geconverteerde CSV-bestand.
2. Voer de Seed Tool uit en selecteer U om de gebruikers in bulk te uploaden.
3. Leg de nieuwe gebruikers-ID's vast in uw migratiekoppeling.

U kunt de upload met een CSV-bestand met enkele gebruikers in een testomgeving uitproberen. De Seed Tool rapporteert het aantal geslaagde en mislukte bewerkingen. In FoxIDs Control kunt u de identificatiegegevens, uitgeschakelde status, claims en wachtwoordinstellingsvlaggen van de geïmporteerde gebruikers bekijken.

De Seed Tool gebruikt bulkprovisioning, die bestaande gebruikers kan vervangen in plaats van samenvoegen. Een herhaalde upload kan inloggegevens en status verwijderen en nieuwe gebruikers-ID's maken. Stem bij een gedeeltelijk voltooide import het resultaat af voordat u opnieuw probeert; gebruik gerichte gebruikersupdates voor latere wijzigingen.

Wachtwoordinstelling bij de eerste aanmelding

Voor een ingeschakelde geïmporteerde gebruiker met SetPasswordEmail=true is de verwachte stroom:

1. De gebruiker opent de applicatie en start de aanmelding via FoxIDs Login.
2. FoxIDs identificeert de gebruiker aan de hand van het e-mailadres en stuurt een bevestigingscode.
3. De gebruiker verzendt de code en een nieuw wachtwoord dat aan het FoxIDs wachtwoordbeleid voldoet.
4. FoxIDs verifieert het e-mailadres, slaat het wachtwoord op en wist de wachtwoordinstellingsvlaggen. De aanmelding doorloopt eventuele verplichte MFA-stappen voordat de gebruiker terugkeert naar de applicatie.

Een gebruiker importeren verzendt geen instellingsmail. Latere wachtwoordaanmeldingen gebruiken het nieuwe FoxIDs wachtwoord. Als een gebruiker de code niet kan ontvangen, heeft het herstelproces een andere manier nodig om de identiteit te verifiëren.

U kunt de stroom met een testgebruiker verkennen via de bovenstaande aanmeldstappen. Deze scenario's tonen de verwachte resultaten:

Okta behouden tijdens de overgang

FoxIDs kan Okta als externe identiteitsprovider vertrouwen terwijl applicaties naar FoxIDs verhuizen. Gebruikers authenticeren bij Okta en FoxIDs geeft tokens uit aan de applicatie. Hiermee blijven Okta wachtwoorden en authenticatiemiddelen bij Okta; ze worden niet naar FoxIDs gekopieerd.

Voor een OpenID Connect verbinding:

1. Maak in Okta een OIDC webapplicatie-integratie voor FoxIDs met Authorization Code Flow. Wijs de gebruikers of groepen toe die via deze integratie aanmelden en configureer het aanmeldbeleid.
2. Maak een OpenID Connect authenticatiemethode in FoxIDs. Stel Authority in op de gekozen Okta issuer en configureer de Okta client-ID onder Optional custom SP client ID, het clientgeheim en de bijbehorende clientauthenticatiemethode voor het tokenendpoint.
3. Vraag waar nodig de scopes profile en email aan; FoxIDs neemt openid op. Selecteer Read claims from the UserInfo Endpoint instead of the access token or ID token onder Show advanced om de claims van de gebruiker via UserInfo op te halen.
4. Registreer de door FoxIDs getoonde Redirect URL als aanmeldomleidings-URI in Okta en configureer de bijbehorende uitlogomleidings-URI als uitloggen wordt gebruikt.
5. Sta de authenticatiemethode toe op de FoxIDs applicatie en configureer Home Realm Discovery voor gebruikers die via Okta doorgaan.

De organisatieautorisatieserver van Okta ondersteunt OpenID Connect aanmelding met een issuer zoals https://example.okta.com. Een aangepaste autorisatieserver gebruikt een issuer zoals https://example.okta.com/oauth2/default. Gebruik de voor de integratie gekozen issuer en claimconfiguratie.

Een SAML authenticatiemethode is een andere mogelijkheid: maak een SAML applicatie in Okta voor FoxIDs en wissel de metadata en instellingen van serviceprovider en identiteitsprovider uit.

Een testaanmelding via de applicatie toont het Okta authenticatiebeleid, de claims, accountkoppeling en het uitloggedrag voor de nieuwe verbinding. Als gebruikers naar lokale FoxIDs aanmelding of rechtstreeks verbonden providers overstappen, stuurt u hen naar die authenticatiemethoden. Een consistente accountkoppeling tussen de methoden laat de applicatie dezelfde accountrecords blijven gebruiken.

Uitrollen en een terugkeerpad behouden

De migratie kan per applicatie of gebruikersgroep worden uitgerold. Gebruikers kunnen via hun gebruikelijke applicatie-URL doorgaan met de ingestelde aanmeldstroom: wachtwoordinstelling, een eenmalige code, hun directorywachtwoord of een externe identiteitsprovider.

Stem gebruikers af die sinds de export zijn aangemaakt, gewijzigd, geschorst of verwijderd, inclusief wijzigingen in groepen en applicatietoewijzingen. Een korte wijzigingsstop of gecontroleerd afstemmingsproces kan bron en doel tijdens de omschakeling consistent houden. Latere updates moeten de in FoxIDs al vastgelegde inloggegevens en status behouden.

Bewaak e-mail- en sms-bezorging, instellingsfouten, aanmeldfouten en problemen met accountkoppeling. Terugdraaien vereist dat de eerdere Okta configuratie beschikbaar blijft. U kunt die configuratie voor een testapplicatie herstellen om de terugkeer naar de Okta aanmeldstroom te bekijken.

Een lokaal in FoxIDs ingesteld wachtwoord wordt niet teruggesynchroniseerd naar Okta. Bij terugdraaien worden daarom de inloggegevens gebruikt die nog bij Okta of de verbonden provider staan. Gebruikers die alleen in FoxIDs zijn aangemaakt, hebben een toegangsroute nodig als terugdraaien vereist is. Zodra de benodigde gebruikers en applicaties hun doelauthenticatiemethoden gebruiken, kan de Okta integratie worden uitgefaseerd.

Gerelateerde documentatie

• Migratieoverzicht
• Veel gebruikers uploaden
• Gebruikersbewerkingen van de Control API
• Aanmelding en Home Realm Discovery
• Directory Connector for Active Directory
• OpenID Connect authenticatiemethode