Gebruikers

Gebruikers worden opgeslagen in de gebruikersrepository van de omgeving. Om meerdere user stores te bereiken, maakt u extra omgevingen aan en bereikt u zo meer user stores.

Er zijn twee verschillende soorten gebruikers:

  • Interne gebruikers die worden geauthenticeerd met de login authenticatiemethode.
  • Externe gebruikers die via een authenticatiemethode zijn gekoppeld aan een externe gebruiker/identity met een claim. De gebruikers worden geauthenticeerd bij een externe Identity Provider en kunnen worden ingewisseld op basis van bijv. een email claim (zie Provision and redeem sectie in externe gebruikers doc).

U kunt Directory Connector gebruiken wanneer interne gebruikers in de FoxIDs-omgeving moeten bestaan, maar wachtwoordauthenticatie en de wachtwoordlevenscyclus moeten worden gedelegeerd aan een gezaghebbende externe directory.

Een andere optie is om te authenticeren tegen een bestaande externe user store via een API. In dit geval worden de gebruikers niet als interne gebruikers in de omgeving opgeslagen. De gebruikers kunnen optioneel worden aangemaakt als externe gebruikers.

U kunt ook hiërarchische toegang modelleren voor zowel interne als externe gebruikers met toegangsstructuur en lidmaatschappen toewijzen aan knooppunten in de toegangsstructuur.

Refresh tokens en actieve sessies intrekken

FoxIDs trekt automatisch de refresh token grants en actieve sessies van een gebruiker in wanneer een interne of externe gebruiker wordt uitgeschakeld of verwijderd. Hetzelfde geldt wanneer een verlopen externe gebruiker wordt verwijderd. Authorization codes worden niet ingetrokken omdat ze een korte levensduur hebben en maar één keer kunnen worden gebruikt.

Wijzigingen in lidmaatschappen van een toegangsstructuur trekken ook de betrokken refresh token grants en actieve sessies in. Dit gebeurt wanneer de lidmaatschappen van een gebruiker worden gewijzigd of wanneer een toegangsstructuur gebruikers begint uit te schakelen of wordt verwijderd. Tijdgebonden lidmaatschappen worden gecontroleerd wanneer een refresh token of actieve sessie wordt gebruikt, zodat verlopen of verwijderde toegang niet kan blijven worden gebruikt.

Gebruik in de FoxIDs Control Client de tabbladen Refresh Token Grants en Active Sessions op de gebruikerspagina van de omgeving om toegang te vinden en in te trekken. U kunt zoeken met een FoxIDs-gebruikers-ID, e-mailadres, telefoonnummer, gebruikersnaam of sub. Gefedereerde gebruikers die niet in FoxIDs zijn opgeslagen, kunnen worden gevonden met de identificatoren die voor hen beschikbaar zijn. Met aanvullende filters kunt u de resultaten beperken tot een bepaalde authentication method, applicatie of sessie.

Wanneer een actieve sessie wordt ingetrokken, worden ook de aan die sessie gekoppelde refresh token grants ingetrokken die overeenkomen met de geselecteerde filters. De details van de actieve sessie tonen de naam en het type van de authenticatiemethode die de sessie heeft aangemaakt.

Wanneer een omgeving wordt verwijderd, worden de actieve sessies en refresh token grants ervan verwijderd. Wanneer een tenant wordt verwijderd, worden dezelfde gegevens uit alle omgevingen verwijderd.

Refresh token grants hebben een maximale inactiviteitsduur en absolute levensduur van één jaar. Elke vernieuwing gebruikt de huidige levensduurinstellingen van de applicatie, inclusief wijzigingen die na de uitgifte van de grant zijn aangebracht. De absolute levensduur wordt gemeten vanaf de oorspronkelijke aanmaak van de grant; vernieuwing en tokenrotatie behouden dit uitgangspunt. Elke geslaagde vernieuwing vernieuwt de inactiviteitsduur binnen de absolute limiet. Een grant die zijn absolute levensduur heeft bereikt, wordt bij gebruik geweigerd en verwijderd.

Wanneer een refresh token wordt uitgegeven of vernieuwd, behoudt FoxIDs de gekoppelde actieve sessie gedurende de huidige resterende levensduur van het token. Als meerdere refresh token grants een sessie delen, blijft de sessie behouden tot het laatst vereiste vervaltijdstip. Aanmelden via FoxIDs met een bestaande gebruikerssessie kan de actieve sessie verlengen volgens de sessie-instellingen van de authenticatiemethode, zonder de refresh token grant te vernieuwen. Activiteit met refresh tokens verlengt de aanmeldsessie van de gebruiker in de browser niet. De actieve sessie kan beschikbaar blijven voor refresh tokens nadat de aanmeldsessie in de browser is verlopen. Expliciete intrekking maakt de sessie en de gekoppelde grants ongeldig.

Blokkering bij te veel mislukte inlogpogingen

FoxIDs telt het aantal mislukte inlogpogingen per gebruikers-ID en fouttype. Wanneer de limiet voor mislukte inlogpogingen binnen het geconfigureerde tijdsbestek wordt bereikt, worden verdere pogingen tijdens de blokkeringsperiode geblokkeerd. De gebruiker wordt automatisch gedeblokkeerd wanneer die periode afloopt.

Directory Connector gebruikt dezelfde instellingen om te beperken hoe vaak een gebruiker een e-mailadres, telefoonnummer of gebruikersnaam in één aanmeldsequentie kan invoeren. Alle identificaties in die sequentie delen de limiet. Zodra deze bereikt is, moet de gebruiker wachten tot de blokkeerperiode voorbij is of een nieuwe aanmeldsequentie starten.

De blokkering geldt voor gebruikersauthenticatie via de authenticatiemethoden login en externe login, inclusief mislukte verificaties met wachtwoord, eenmalige code en MFA.

Deze beveiligingsfunctie helpt brute-force-aanvallen op gebruikersaccounts te voorkomen. Stel het maximum aantal pogingen, het tijdsbestek voor pogingen en de blokkeringsperiode in op basis van uw beveiligingsvereisten.

Selecteer uw omgeving in de FoxIDs Control Client en open Users > Failing Login Lockout voor actieve blokkeringen. Kies End lockout om een blokkering vóór het verlopen op te heffen.

De lockout wordt geconfigureerd in de omgevingsinstellingen in de FoxIDs Control Client.

  1. Selecteer het tabblad Instellingen.
  2. Selecteer het tabblad Omgeving.
  3. Zoek het gedeelte Blokkering bij mislukte aanmeldingspogingen.
  4. Stel de Limiet voor mislukte aanmeldingspogingen in, bijvoorbeeld 5 pogingen.
  5. Stel de Tijdsduur tussen mislukte inlogpogingen in seconden in, bijvoorbeeld 36000 gedurende 10 uur.
  6. Stel de Blokkeringsduur in seconden in, bijvoorbeeld 3600 gedurende 60 minuten. Blokkering bij mislukte inlogpogingen
  7. Klik op Bijwerken.