Interne gebruikers

Interne gebruikers kunnen zich authenticeren via een of meer login authenticatiemethoden in een omgeving. Daardoor kunt u de aanmeldervaring aanpassen voor verschillende applicatieeisen.

Upload uw gebruikers vanuit een CSV-bestand, met of zonder wachtwoord.

Zie het gebruikersoverzicht voor een overzicht van gebruikersconcepten zoals interne gebruikers, externe gebruikers en externe gebruikersopslag.

Interne gebruikers kunnen ook lidmaatschappen in toegangsstructuur krijgen om hiërarchische toegang te modelleren en toegangsclaims tijdens het aanmelden op te lossen.

Gebruikersidentificatoren

Interne gebruikers ondersteunen drie gebruikersidentificatoren: e-mail, telefoonnummer en gebruikersnaam. Deze identificatoren vormen de aanmeldingsreferentie, dus het gebruikersnaamgedeelte, wanneer een gebruiker zich aanmeldt met gebruikersnaam en wachtwoord.

E-mailidentificatoren mogen maximaal 100 tekens lang zijn en gebruikersnamen maximaal 60 tekens. E-mailadressen en gebruikersnamen zijn niet hoofdlettergevoelig en omringende witruimte wordt vóór validatie en vergelijking verwijderd.

U kunt één, twee of alle drie de identificatoren inschakelen in de login-authenticatiemethode. Als meer dan één identificator is ingeschakeld, kan de gebruiker zich aanmelden met elke ingeschakelde identificator. Identificatoren die op een gebruiker zijn gedefinieerd maar in de login-authenticatiemethode zijn uitgeschakeld, worden op de gebruiker opgeslagen, maar kunnen niet worden gebruikt om zich via die login-methode aan te melden.

Alleen telefoonnummer als gebruikersidentificator.

E-mail, telefoonnummer en gebruikersnaam als gebruikersidentificatoren.

Wachtwoordcontrole

Interne gebruikers kunnen zich authenticeren met een wachtwoord. Het wachtwoord wordt gevalideerd tegen het ingebouwde wachtwoordbeleid (standaard of beleidsgroep) en optioneel een externe wachtwoord-API.

U kunt ook Directory Connector voor de omgeving inschakelen. In dat geval worden wachtwoordauthenticatie en de wachtwoordlevenscyclus gedelegeerd aan een gezaghebbende externe directory, terwijl de gebruikers interne gebruikers in FoxIDs blijven.

Ingebouwd wachtwoordbeleid en wachtwoordveroudering

Het standaardwachtwoordbeleid wordt geconfigureerd in de omgevingsinstellingen in de FoxIDs Control Client en is van toepassing wanneer er geen wachtwoordbeleidsgroep aan de gebruiker is toegewezen.

1. Selecteer het tabblad Instellingen.
2. Selecteer het tabblad Omgeving.
3. Zoek het gedeelte Wachtwoordinstellingen.
4. Configureer het vak Standaardwachtwoordbeleid:
   • Minimale wachtwoordlengte en Maximale wachtwoordlengte bepalen het toegestane bereik.
   • Controleer variatie en herhaling van wachtwoordtekens vereist ten minste drie van de volgende tekengroepen: kleine letters, hoofdletters, cijfers en symbolen. Het wachtwoord wordt ook afgewezen als een teken minstens max(3, floor(password length / 2)) keer voorkomt; de herhaalde tekens hoeven niet aaneengesloten te zijn.
   • Wachtwoord controleren aan de hand van e-mail, telefoonnummer en gebruikersnaam controleert alle beschikbare gebruikers-ID’s die aan de gebruiker zijn gekoppeld. E-mailwaarden worden gesplitst op @, ., - en _; gebruikersnaamwaarden worden ook gesplitst op :. Componenten van vier of meer tekens mogen niet in het wachtwoord voorkomen. Een telefoonnummer van vier of meer tekens wordt gecontroleerd nadat de voorvoegsel + is verwijderd. Bij vergelijkingen wordt geen onderscheid gemaakt tussen hoofdletters en kleine letters.
   • Wachtwoord controleren op URL-gerelateerde woorden wijst URL-host- en servicepadcomponenten van vier of meer tekens uit de huidige FoxIDs-context af. Bij vergelijkingen wordt geen onderscheid gemaakt tussen hoofdletters en kleine letters.
   • Wachtwoordrisico controleren op basis van wereldwijde wachtwoordlekken wijst wachtwoorden af die in risicolijsten voorkomen. Zie voor zelfgehoste implementaties risicowachtwoorden.
   • Verboden tekens (hoofdlettergevoelig) blokkeert specifieke tekens.
   • Wachtwoordgeschiedenis (aantal eerdere wachtwoorden, 0 om uit te schakelen) voorkomt hergebruik van recente wachtwoorden.
   • Maximale leeftijd van wachtwoord in seconden (0 om uit te schakelen) dwingt een wijziging af wanneer een wachtwoord te oud wordt.
   • Zachte wachtwoordwijziging in seconden (0 om uit te schakelen) biedt een respijtperiode. Tijdens het inloggen wordt de gebruiker bij een niet-conform of verlopen wachtwoord gevraagd dit te wijzigen, maar de gebruiker kan nog steeds inloggen totdat de respijtperiode is verstreken.
5. Klik op Bijwerken.

De controles op de drie tekens, de gebruikers-ID en de URL-context zijn onafhankelijk van elkaar en standaard ingeschakeld. Ze kunnen afzonderlijk worden geconfigureerd, zowel in het standaardwachtwoordbeleid als in elke wachtwoordbeleidsgroep.

Wachtwoordbeleidsgroepen

U kunt per omgeving maximaal 10 wachtwoordbeleidsgroepen definiëren. Een groep overschrijft het standaardwachtwoordbeleid voor de gebruikers aan wie deze groep is toegewezen.

1. Selecteer het tabblad Settings.
2. Selecteer het tabblad Environment.
3. Zoek de sectie Password settings.
4. Configureer het vak Password policy groups.
5. Klik op Add policy group en stel de beleidswaarden in, dezelfde velden als in het standaardbeleid, plus een naam en optioneel een weergavenaam.
6. Klik op Update.

Pas een groep toe op een gebruiker via Internal Users → bewerk de gebruiker → Advanced → Password policy, of stel de naam van het wachtwoordbeleid in bij provisioning via de Control API. Als geen groep is geselecteerd, wordt het standaardbeleid van de omgeving gebruikt.

Externe wachtwoord-API

U kunt optioneel een externe wachtwoord-API configureren om wachtwoorden te valideren en/of wachtwoordwijzigingen te melden.

Als het ingebouwde wachtwoordbeleid het wachtwoord afwijst, wordt de externe wachtwoord-API niet aangeroepen. De notificatiemethode van de externe wachtwoord-API wordt alleen aangeroepen als het wachtwoord alle geconfigureerde beleidscontroles doorstaat.

Wachtwoord of eenmalige code (wachtwoordloos)

De login authenticatiemethode is standaard geconfigureerd voor gebruikersidentificator plus wachtwoord.

U kunt ook eenmalige code (OTP) via e-mail en/of SMS inschakelen voor wachtwoordloos aanmelden, en u kunt meerdere login authenticatiemethoden met verschillende combinaties maken.

Als zowel wachtwoord als OTP zijn ingeschakeld, worden alle ingeschakelde methoden aangeboden. De interface kan ook self-service accountaanmaak toestaan.

Als alleen OTP via e-mail is ingeschakeld:

Gebruiker maken

Afhankelijk van de configuratie van de geselecteerde login methode kunnen gebruikers online een account maken.

De gebruiker kiest op de aanmeldpagina om een nieuw account te maken.

Dit voorbeeld toont het formulier voor het maken van een gebruiker.

De pagina bestaat uit dynamische elementen die per login methode kunnen worden aangepast. In dit voorbeeld bevat het formulier de velden Given name, Family name, Email en Password. Het veld Email is de gebruikersidentificator die wordt gebruikt voor aanmelden.

U kunt online accountaanmaak beperken tot geselecteerde e-maildomeinen in de Create user configuratie van de login-methode. Als er geen toegestane e-maildomeinen zijn geconfigureerd, kunnen gebruikers een account maken met elk geldig e-mailadres. Voeg toegestane domeinen toe zonder @, bijvoorbeeld some-customer.dk. Domeinwaarden moeten lowercase-domeinen zijn zonder spaties aan het begin of einde. Wanneer toegestane e-maildomeinen zijn geconfigureerd, moet het create-user formulier precies één verplicht dynamisch Email-element bevatten dat is gemarkeerd als gebruikersidentificator.

De domeinbeperking wordt gecontroleerd tegen het e-mailadres dat de gebruiker in het create-user formulier heeft ingevoerd voordat create-user claim transforms worden toegepast. Dit betekent dat een claim transform een sign-up niet geldig kan maken door het ingediende e-maildomein te wijzigen.

Dit is de configuratie in de login methode. Daarnaast wordt de claim some_custom_claim aan elke gebruiker toegevoegd als constante via een claim transform.

Provisioning

Interne gebruikers kunnen worden gemaakt, bijgewerkt en verwijderd in de Control Client of geprovisioneerd via de Control API. U kunt ook veel gebruikers uploaden vanuit een CSV-bestand.

Multi-factor authenticatie (MFA)

Twee-factor en multi-factor authenticatie kan per gebruiker vereist zijn. De gebruiker moet dan een extra factor voltooien en kan een authenticator app registreren als die nog niet is geregistreerd.

Beschikbare factoren worden bepaald door de login authenticatiemethode en de gegevens en instellingen van de gebruiker. Zie twee-factor en multi-factor authenticatie.

Onder Internal Users → gebruiker bewerken → Advanced → Two-factor kan een beheerder elke geregistreerde authenticator-app zien en registraties afzonderlijk verwijderen. De lijst toont de permanente registratie-ID en, indien beschikbaar, de registratietijd; authenticator-secrets worden niet weergegeven. Registraties kunnen ook via Control API worden gesynchroniseerd.

Wachtwoordhash

Alleen een hash van het wachtwoord wordt opgeslagen.

Het hashingsubsysteem ondersteunt doorontwikkeling. Hashmetadata, dus algoritme en parameters, worden samen met elke hash opgeslagen zodat oude hashes nog steeds kunnen worden gevalideerd, terwijl nieuwe hashes nieuwere algoritmen of parameters gebruiken.

Momenteel ondersteund hash-algoritme P2HS512:10:

• HMAC (RFC 2104) met SHA-512 (FIPS 180-4)
• 10 iteraties opgeslagen in de hashmetadata, vermenigvuldigd met 10.000 PBKDF2-rondes voor in totaal 100.000 iteraties
• Saltlengte: 64 bytes
• Afgeleide sleutellengte: 80 bytes
• Hash en salt worden opgeslagen als Base64 URL-gecodeerde tekenreeksen, dus Base64 zonder padding

Standaardbibliotheken in .NET worden gebruikt om de hash te berekenen.

Gerelateerde documentatie

• Gebruikers
• Externe gebruikers
• Directory Connector
• External Password API
• Veel gebruikers uploaden
• Toegangsstructuur
• Aanmelden en Home Realm Discovery
• Twee-factor en multi-factor authenticatie