Migracja użytkowników Active Directory do FoxIDs

Przenieś użytkowników Active Directory (AD) i logowanie do aplikacji do FoxIDs, zachowując AD jako katalog użytkowników, stopniowo przenieś weryfikację haseł do FoxIDs albo zaimportuj użytkowników i pozwól im wybrać nowe hasło.

Ten przewodnik techniczny obejmuje użytkowników Active Directory Domain Services (AD DS), ich hasła i konta w aplikacjach. Przewodnik dotyczący Directory Connector dla Active Directory opisuje instalację i konfigurację.

Przygotowanie środowiska docelowego i aplikacji

Osobne środowisko testowe pozwala wypróbować wybrane podejście z małą grupą użytkowników i jedną aplikacją przed przejściem do produkcji.

1. Jeśli chcesz używać własnej domeny, skonfiguruj ją przed podłączeniem aplikacji lub zewnętrznych dostawców tożsamości. Późniejsza zmiana domeny wymaga aktualizacji zewnętrznych konfiguracji korzystających z adresów URL FoxIDs.
2. Każde środowisko ma domyślną metodę uwierzytelniania Login o nazwie login. Dostosuj jej wygląd i interfejs logowania oraz włącz wymagane identyfikatory logowania, takie jak adres e-mail lub nazwa użytkownika.
3. Zarejestruj aplikacje w FoxIDs i skonfiguruj ich adresy przekierowań, zachowanie przy wylogowaniu oraz wymagane claims. Mostkowanie protokołów obsługuje aplikacje używające różnych protokołów w okresie przejściowym.

FoxIDs może stosować uwierzytelnianie wieloskładnikowe wobec użytkowników logujących się przez Login, także gdy ich hasła są weryfikowane w AD. FoxIDs Cloud zapewnia dostarczanie wiadomości e-mail i SMS w zależności od wybranego planu FoxIDs Cloud.

Zachowanie AD jako katalogu

Zainstaluj Directory Connector dla Active Directory na serwerze Windows/IIS, który ma dostęp do kontrolerów domeny. FoxIDs komunikuje się z konektorem przez HTTPS. Skonfiguruj wyszukiwanie użytkowników w AD, zwracane atrybuty i ewentualne claims grupowe używane przez aplikacje.

Włącz konektor w Settings > Environment > Directory connector settings, podając adres URL jego API i sekret. W metodzie uwierzytelniania Login włącz uwierzytelnianie hasłem i identyfikatory zwracane przez konektor. Wyłącz tworzenie użytkowników w Login; nowi użytkownicy są tworzeni w AD i udostępniani w FoxIDs przez konektor.

Gdy użytkownik wprowadzi identyfikator, FoxIDs pobiera jego aktualne konto AD i tworzy lub aktualizuje wewnętrznego użytkownika FoxIDs. Konektor używa wartości objectGUID z AD, aby zachować powiązanie konta po zmianie identyfikatorów logowania. Uwierzytelnianie hasłem weryfikuje wprowadzone hasło w AD. To podejście nie wymaga importu CSV.

AD nadal zarządza hasłami i danymi użytkowników zwracanymi przez konektor. FoxIDs może zachować to połączenie jako stałą integrację. Opcjonalna lokalna kopia hasła umożliwia późniejszą migrację; nie jest używana do uwierzytelniania, gdy konektor jest włączony.

Stopniowa migracja haseł

Zacznij od opisanej wyżej konfiguracji konektora i pozostaw włączone Save local password, zgodnie z ustawieniem domyślnym. Przejście przebiega następująco:

1. Użytkownicy logują się przez FoxIDs Login przy użyciu swoich dotychczasowych haseł AD.
2. Po pomyślnej weryfikacji hasła FoxIDs zapisuje lokalny skrót hasła dla tego samego użytkownika wewnętrznego. Zmiany i resetowanie haseł zakończone przez FoxIDs także aktualizują lokalny skrót.
3. Wyłącz Directory Connector w ustawieniach środowiska, aby przejść na lokalną weryfikację haseł w FoxIDs. Istniejące konta użytkowników FoxIDs i zapisane hasła pozostają dostępne.

Directory Connector jest konfigurowany dla całego środowiska, więc jego wyłączenie przełącza środowisko na lokalną weryfikację. Po przejściu użytkownicy, hasła i zmiany dostępu są zarządzane w FoxIDs; zmiany w AD nie aktualizują już tych użytkowników przez konektor.

Lokalna kopia hasła odzwierciedla ostatnią pomyślną weryfikację, zmianę lub zresetowanie hasła przez FoxIDs. Późniejsza zmiana hasła dokonana wyłącznie w AD staje się dostępna lokalnie, gdy użytkownik następnym razem uwierzytelni się tym hasłem przez FoxIDs.

Użytkowników, którzy nie zostali jeszcze utworzeni, można zaimportować za pomocą opisanej poniżej metody CSV. Istniejący użytkownicy bez lokalnej kopii hasła mogą po przejściu użyć opcji Nie pamiętasz hasła?, gdy resetowanie hasła przez e-mail lub SMS jest włączone w metodzie uwierzytelniania Login. Odzyskiwanie wykorzystuje ich istniejące konta FoxIDs.

Możesz wypróbować przejście w środowisku testowym, logując się jako użytkownik AD, wyłączając konektor i rozpoczynając nowe logowanie hasłem. To samo hasło jest następnie weryfikowane lokalnie. Użytkownik bez zapisanego hasła może zamiast tego przejść skonfigurowany proces ustawiania lub odzyskiwania hasła.

Import użytkowników w celu ustawienia hasła

Aby przejść bezpośrednio na lokalnych użytkowników FoxIDs, pobierz wybranych użytkowników AD i przekształć ich atrybuty do formatu CSV narzędzia Seed Tool. Polecenie Microsoft Get-ADUser umożliwia wybór użytkowników za pomocą filtra lub bazy wyszukiwania oraz pobieranie wymaganych atrybutów.

Odwzoruj dane potrzebne aplikacji:

Zachowaj wartość objectGUID z AD i powiązanie z istniejącym kontem aplikacji w mapowaniu migracji. Ustaw EmailVerified zgodnie ze znanym stanem weryfikacji; sam atrybut e-mail w AD nie potwierdza tego stanu.

Włącz logowanie adresem e-mail, uwierzytelnianie hasłem i ustawianie hasła przez e-mail w metodzie uwierzytelniania Login. Zapisz CSV w UTF-8 z nagłówkami rozróżniającymi wielkość liter i średnikami jako separatorami. Ten przykład importuje fikcyjnego użytkownika bez hasła:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Skonfiguruj FoxIDs Seed Tool, ustaw SeedSettings.UsersSvcPath na plik CSV i wybierz U, aby przesłać użytkowników. Narzędzie zbiorczo ładuje użytkowników do skonfigurowanego środowiska FoxIDs przez Control API.

Przy pierwszym logowaniu użytkownik otrzymuje kod e-mail, wprowadza go na stronie logowania i wybiera nowe hasło. Hasło jest ustawiane podczas logowania; przesłanie CSV jedynie tworzy konta. Nowe hasło jest zarządzane w FoxIDs niezależnie od AD.

Zachowanie kont aplikacji

FoxIDs tworzy własny trwały identyfikator użytkownika zarówno dla użytkowników utworzonych przez konektor, jak i importowanych z CSV. Powiązanie z katalogiem AD nie czyni automatycznie istniejącego identyfikatora aplikacji jej wartością FoxIDs sub ani SAML NameID.

Zachowaj powiązanie między użytkownikiem AD a istniejącym kontem aplikacji. Jeśli aplikacja oczekuje istniejącej wartości subject, udostępnij ją jako claim użytkownika i skonfiguruj transformację claims w metodzie uwierzytelniania Login, aby uzyskać wymagane sub. Dla aplikacji SAML skonfiguruj wymagany NameID i format w rejestracji aplikacji SAML. Aplikacje identyfikujące konta przez issuer i subject muszą także powiązać issuer FoxIDs z istniejącymi kontami.

Po wyłączeniu konektora zmiany grup i atrybutów używanych do dostępu do aplikacji są utrzymywane w FoxIDs lub aplikacji. Testowe logowanie pozwala sprawdzić wynikowy subject, role i powiązanie konta.

Przenoszenie aplikacji z AD FS

Jeśli aplikacje obecnie korzystają z AD FS, FoxIDs może połączyć się z AD FS przez SAML 2.0 na czas ich przenoszenia do FoxIDs. Na tym etapie AD FS pozostaje dostawcą tożsamości.

Później aplikacje mogą korzystać z FoxIDs Login i Directory Connector, aby uwierzytelniać bezpośrednio w AD, lub po migracji używać lokalnych użytkowników FoxIDs. AD może pozostać katalogiem po usunięciu AD FS z procesu logowania do aplikacji.

Logowanie przez AD FS nie udostępnia FoxIDs hasła użytkownika. Stopniowa migracja haseł odbywa się więc, gdy użytkownicy logują się przez FoxIDs Login i Directory Connector. Zachowaj powiązanie konta aplikacji przy zmianie między tymi metodami uwierzytelniania.

Powiązana dokumentacja

• Przegląd migracji
• Directory Connector dla Active Directory
• Directory Connector i lokalne kopie haseł
• Przesyłanie wielu użytkowników
• Konfiguracja logowania
• Połączenie z AD FS przez SAML 2.0