Użytkownicy wewnętrzni
Użytkownicy wewnętrzni mogą uwierzytelniać się w jednej lub wielu metodach uwierzytelniania login w środowisku. Dzięki temu można dostosować sposób logowania do różnych wymagań aplikacji.
Załaduj swoich użytkowników z pliku CSV, z hasłem lub bez.
Przegląd pojęć takich jak użytkownicy wewnętrzni, użytkownicy zewnętrzni i zewnętrzne magazyny użytkowników znajdziesz w przeglądzie użytkowników.
Użytkownicy wewnętrzni mogą również otrzymywać członkostwa w strukturze dostępu, aby modelować dostęp hierarchiczny i rozwiązywać claims dostępu podczas logowania.
Identyfikatory użytkownika
Użytkownicy wewnętrzni obsługują trzy identyfikatory użytkownika: e-mail, numer telefonu i nazwę użytkownika. Te identyfikatory tworzą dane logowania, czyli część nazwy użytkownika, gdy użytkownik loguje się za pomocą nazwy użytkownika i hasła.
Możesz włączyć jeden, dwa albo wszystkie trzy identyfikatory w metodzie uwierzytelniania logowania. Jeśli włączony jest więcej niż jeden identyfikator, użytkownik może logować się przy użyciu dowolnego z nich. Identyfikatory zdefiniowane na użytkowniku, ale wyłączone w metodzie uwierzytelniania logowania, są przechowywane na użytkowniku, ale nie mogą być używane do logowania przez tę metodę logowania.
Tylko numer telefonu jako identyfikator użytkownika.
E-mail, numer telefonu i nazwa użytkownika jako identyfikatory użytkownika.
Sprawdzanie hasła
Użytkownicy wewnętrzni mogą uwierzytelniać się hasłem. Hasło jest weryfikowane względem wbudowanej polityki haseł (domyślnej lub grupy polityk) oraz opcjonalnie przez zewnętrzne API haseł.
Możesz także włączyć Directory Connector dla środowiska. W takim przypadku uwierzytelnianie hasłem i cykl życia hasła są delegowane do autorytatywnego zewnętrznego katalogu, podczas gdy użytkownicy pozostają użytkownikami wewnętrznymi w FoxIDs.
Wbudowane zasady dotyczące haseł i ich okresu ważności
Domyślne zasady dotyczące haseł konfiguruje się w ustawieniach środowiska w FoxIDs Control Client i mają one zastosowanie, gdy użytkownikowi nie przypisano żadnej grupy zasad dotyczących haseł.
- Wybierz kartę Ustawienia.
- Wybierz kartę Środowisko.
- Znajdź sekcję Ustawienia hasła.
- Skonfiguruj pole Domyślne zasady dotyczące haseł:
- Minimalna długość hasła i Maksymalna długość hasła określają dopuszczalny zakres.
- Opcja Sprawdź różnorodność i powtórzenia znaków w haśle wymaga użycia co najmniej trzech z następujących grup znaków: małe litery, wielkie litery, cyfry i symbole. Hasło zostanie również odrzucone, jeśli jeden znak wystąpi co najmniej
max(3, floor(password length / 2))razy; powtarzające się znaki nie muszą występować kolejno. - Opcja Sprawdź hasło względem adresu e-mail, numeru telefonu i nazwy użytkownika sprawdza wszystkie dostępne identyfikatory powiązane z użytkownikiem. Adresy e-mail są dzielone na części:
@,.,-oraz_; nazwy użytkowników są również dzielone na części::. W haśle nie mogą występować elementy składające się z czterech lub więcej znaków. Numer telefonu składający się z czterech lub więcej znaków jest sprawdzany po usunięciu początkowego+. Porównania nie uwzględniają wielkości liter. - Sprawdź hasło pod kątem słów związanych z adresami URL odrzuca elementy hosta i ścieżki usługi adresu URL składające się z czterech lub więcej znaków z bieżącego kontekstu FoxIDs. Porównania nie uwzględniają wielkości liter.
- Sprawdzanie ryzyka hasła na podstawie globalnych wycieków haseł odrzuca hasła znajdujące się na listach ryzyka. W przypadku wdrożeń na własnym serwerze zobacz hasła ryzykowne.
- Zabronione znaki (bez rozróżniania wielkości liter) blokuje określone znaki.
- Historia haseł (liczba poprzednich haseł, 0 – wyłączenie) zapobiega ponownemu użyciu ostatnich haseł.
- Maksymalny wiek hasła w sekundach (0 – wyłączenie) wymusza zmianę hasła, gdy staje się ono zbyt stare.
- Okres karencji na zmianę hasła w sekundach (0 – wyłączone) zapewnia okres karencji. Podczas logowania hasło niezgodne z wymaganiami lub wygasłe powoduje wyświetlenie monitu o jego zmianę, ale użytkownik może nadal się logować do momentu upływu okresu karencji.
- Kliknij Aktualizuj.
Sprawdzanie trzech znaków, identyfikatora użytkownika oraz kontekstu adresu URL są niezależne i domyślnie włączone. Można je konfigurować oddzielnie zarówno w domyślnej polityce haseł, jak i w każdej grupie polityk haseł.
Grupy polityk haseł
Możesz zdefiniować do 10 grup polityk haseł na środowisko. Grupa zastępuje domyślną politykę haseł dla użytkowników, którzy są do niej przypisani.
- Wybierz kartę Settings.
- Wybierz kartę Environment.
- Znajdź sekcję Password settings.
- Skonfiguruj pole Password policy groups.
- Kliknij Add policy group i ustaw wartości polityki, czyli te same pola co w polityce domyślnej, a także nazwę i opcjonalnie nazwę wyświetlaną.
- Kliknij Update.
Zastosuj grupę do użytkownika w Internal Users → edytuj użytkownika → Advanced → Password policy, albo ustaw nazwę polityki haseł podczas provisionowania przez Control API. Jeśli żadna grupa nie zostanie wybrana, używana jest domyślna polityka środowiska.
Zewnętrzne API haseł
Opcjonalnie możesz skonfigurować zewnętrzne API haseł, aby walidować hasła i/lub powiadamiać o zmianach haseł.
Jeśli wbudowana polityka haseł odrzuci hasło, zewnętrzne API haseł nie zostanie wywołane. Metoda powiadomień w zewnętrznym API haseł jest wywoływana tylko wtedy, gdy hasło przejdzie wszystkie skonfigurowane kontrole polityki.
Hasło lub jednorazowy kod (bez hasła)
Metoda uwierzytelniania login jest domyślnie skonfigurowana dla identyfikatora użytkownika plus hasło.
Możesz również włączyć jednorazowy kod (OTP) przez e-mail i/lub SMS do logowania bez hasła, a także utworzyć wiele metod uwierzytelniania login z różnymi kombinacjami.
Jeśli włączone są zarówno hasło, jak i OTP, oferowane są wszystkie włączone metody. Interfejs może także umożliwiać samodzielne zakładanie kont.
Jeśli włączone jest tylko OTP przez e-mail:
Tworzenie użytkownika
W zależności od konfiguracji wybranej metody login użytkownicy mogą tworzyć konto online.
Użytkownik wybiera utworzenie nowego konta na stronie logowania.
Ten przykład pokazuje formularz tworzenia użytkownika.
Strona składa się z dynamicznych elementów, które można dostosować dla każdej metody login. W tym przykładzie formularz zawiera pola Given name, Family name, Email i Password. Pole Email jest identyfikatorem użytkownika używanym do logowania.
Możesz ograniczyć tworzenie kont online do wybranych domen e-mail w konfiguracji Create user metody logowania. Jeśli nie skonfigurowano dozwolonych domen e-mail, użytkownicy mogą utworzyć konto z dowolnym prawidłowym adresem e-mail. Dodaj dozwolone domeny bez @, na przykład some-customer.dk. Wartości domen muszą być domenami lowercase bez spacji na początku ani na końcu. Gdy skonfigurowane są dozwolone domeny e-mail, formularz create-user musi zawierać dokładnie jeden wymagany dynamiczny element Email oznaczony jako identyfikator użytkownika.
Ograniczenie domeny jest sprawdzane względem adresu e-mail wpisanego przez użytkownika w formularzu create-user przed zastosowaniem create-user claim transforms. Oznacza to, że claim transform nie może sprawić, że sign-up stanie się prawidłowy przez zmianę przesłanej domeny e-mail.
To jest konfiguracja w metodzie login. Dodatkowo claim some_custom_claim jest dodawany do każdego użytkownika jako stała przez claim transform.
Provisionowanie
Użytkownicy wewnętrzni mogą być tworzeni, aktualizowani i usuwani w Control Client lub provisionowani przez Control API. Możesz też załadować wielu użytkowników z pliku CSV.
Uwierzytelnianie wieloskładnikowe (MFA)
Uwierzytelnianie dwuetapowe i wieloskładnikowe może być wymagane dla poszczególnych użytkowników. Użytkownik musi wtedy ukończyć dodatkowy czynnik i może zarejestrować authenticator app, jeśli nie jest jeszcze zarejestrowana.
Dostępne czynniki zależą od metody uwierzytelniania logowania oraz od danych i ustawień użytkownika. Zobacz uwierzytelnianie dwuetapowe i wieloskładnikowe.
Możesz sprawdzić, czy authenticator app jest zarejestrowana, a administrator może ją dezaktywować.
Hash hasła
Przechowywany jest tylko hash hasła.
Podsystem hashowania wspiera rozwój w czasie. Metadane hashu, czyli algorytm i parametry, są przechowywane razem z każdym hashem, dzięki czemu stare hashe nadal mogą być walidowane, podczas gdy nowe używają nowszych algorytmów lub parametrów.
Obecnie obsługiwany algorytm hashowania P2HS512:10:
- HMAC (
RFC 2104) z SHA-512 (FIPS 180-4) - 10 iteracji zapisanych w metadanych hashu, pomnożonych przez 10 000 rund PBKDF2, co daje łącznie 100 000 iteracji
- Długość soli: 64 bajty
- Długość pochodnego klucza: 80 bajtów
- Hash i sól są przechowywane jako ciągi zakodowane Base64 URL, czyli Base64 bez paddingu
Do obliczania hashu używane są standardowe biblioteki .NET.