Migrar utilizadores do Active Directory para o FoxIDs

Transfira os utilizadores do Active Directory (AD) e os inícios de sessão nas aplicações para o FoxIDs mantendo o AD como diretório de utilizadores, transfira gradualmente a validação de palavras-passe para o FoxIDs ou importe utilizadores e permita-lhes escolher uma nova palavra-passe.

Este guia técnico abrange os utilizadores do Active Directory Domain Services (AD DS), as suas palavras-passe e as contas nas aplicações. O guia do Directory Connector para Active Directory descreve os passos de instalação e configuração.

Abordagem	Gestão de palavras-passe	Gestão de utilizadores
Manter o AD como diretório	O FoxIDs valida a palavra-passe do utilizador no AD através do Directory Connector.	O AD continua a ser a fonte de referência para os utilizadores e os atributos devolvidos pelo conector.
Migrar palavras-passe gradualmente	O FoxIDs guarda um hash local após a validação bem-sucedida da palavra-passe no AD. A validação local assume o controlo quando o conector é desativado.	Os utilizadores são aprovisionados através do conector e posteriormente geridos no FoxIDs.
Importar utilizadores para definir palavras-passe	No primeiro início de sessão, os utilizadores escolhem uma nova palavra-passe do FoxIDs com um código por e-mail.	Os utilizadores são importados de CSV com o FoxIDs Seed Tool e geridos no FoxIDs.

Preparar o destino e as aplicações

Um ambiente de teste dedicado permite experimentar a abordagem escolhida com um pequeno grupo de utilizadores e uma aplicação antes de passar à produção.

Se pretender um domínio personalizado, configure-o antes de ligar aplicações ou fornecedores de identidade externos. Alterar o domínio posteriormente requer a atualização das configurações externas que utilizam URL do FoxIDs.
Cada ambiente tem um método de autenticação Login predefinido chamado login. Personalize a imagem de marca e a interface de início de sessão e ative os identificadores de início de sessão necessários, como o e-mail ou o nome de utilizador.
Registe as aplicações no FoxIDs e configure os seus URL de redirecionamento, o comportamento de fim de sessão e os claims necessários. A ponte de protocolos suporta aplicações que utilizam diferentes protocolos durante a transição.

O FoxIDs pode aplicar autenticação multifator aos utilizadores que iniciam sessão através do Login, incluindo aqueles cujas palavras-passe são validadas no AD. O FoxIDs Cloud disponibiliza o envio de e-mail e SMS consoante o plano FoxIDs Cloud selecionado.

Manter o AD como diretório

Instale o Directory Connector para Active Directory num servidor Windows/IIS com acesso aos controladores de domínio. O FoxIDs comunica com o conector através de HTTPS. Configure a pesquisa de utilizadores no AD, os atributos devolvidos e os eventuais claims de grupo utilizadas pelas aplicações.

Ative o conector em Settings > Environment > Directory connector settings, utilizando o URL da API e o respetivo segredo. No método de autenticação Login, ative a autenticação por palavra-passe e os identificadores devolvidos pelo conector. Desative a criação de utilizadores no Login; os novos utilizadores são criados no AD e aprovisionados no FoxIDs através do conector.

Quando um utilizador introduz o seu identificador, o FoxIDs obtém a conta atual do AD e cria ou atualiza o utilizador interno do FoxIDs. O conector utiliza o objectGUID do AD para manter a associação da conta quando os identificadores de início de sessão mudam. A autenticação por palavra-passe valida a palavra-passe introduzida no AD. Esta abordagem não requer uma importação CSV.

O AD continua a gerir as palavras-passe e os dados dos utilizadores devolvidos pelo conector. O FoxIDs pode manter esta ligação como integração permanente. A cópia local da palavra-passe, opcional, permite uma migração posterior; não é utilizada para autenticação enquanto o conector está ativo.

Migrar palavras-passe gradualmente

Comece pela configuração do conector descrita acima e mantenha Save local password ativo, que é a predefinição. A transição funciona da seguinte forma:

Os utilizadores iniciam sessão através do FoxIDs Login com as suas palavras-passe existentes do AD.
Após a validação bem-sucedida da palavra-passe, o FoxIDs guarda um hash local no mesmo utilizador interno. As alterações e reposições de palavras-passe concluídas através do FoxIDs também atualizam o hash local.
Desative o Directory Connector nas definições do ambiente para passar à validação local de palavras-passe no FoxIDs. Os utilizadores existentes do FoxIDs e as suas palavras-passe guardadas continuam disponíveis.

O Directory Connector é configurado para todo o ambiente, pelo que a sua desativação muda o ambiente para validação local. Após a mudança, os utilizadores, as palavras-passe e as alterações de acesso são geridos no FoxIDs; as alterações no AD deixam de atualizar estes utilizadores através do conector.

A cópia local da palavra-passe reflete a última validação, alteração ou reposição bem-sucedida através do FoxIDs. Uma alteração posterior efetuada apenas no AD fica disponível localmente quando o utilizador voltar a autenticar-se com essa palavra-passe através do FoxIDs.

Os utilizadores que ainda não tenham sido aprovisionados podem ser importados com a abordagem CSV abaixo. Após a mudança, os utilizadores existentes sem uma cópia local da palavra-passe podem utilizar Esqueceu-se da palavra-passe?, com a reposição por e-mail ou SMS ativa no método de autenticação Login. A recuperação utiliza as suas contas existentes do FoxIDs.

Pode experimentar a transição num ambiente de teste iniciando sessão com um utilizador do AD, desativando o conector e iniciando uma nova sessão com palavra-passe. A mesma palavra-passe é então validada localmente. Um utilizador sem uma palavra-passe guardada pode, em alternativa, concluir o fluxo configurado de definição ou recuperação da palavra-passe.

Importar utilizadores para definir palavras-passe

Para passar diretamente a utilizadores locais do FoxIDs, obtenha os utilizadores do AD selecionados e converta os seus atributos para o formato CSV do Seed Tool. O comando Get-ADUser da Microsoft permite selecionar utilizadores por filtro ou base de pesquisa e obter os atributos necessários.

Mapeie os dados necessários à aplicação:

Informação do AD	Importação no FoxIDs
Endereço de e-mail, normalmente `mail`	`Email`.
Nome de início de sessão escolhido, como `sAMAccountName` ou `userPrincipalName`	`Username` quando é necessário iniciar sessão com nome de utilizador.
Conta desativada ou expirada	`DisableAccount=true` se a conta for incluída na importação.
Nome próprio, apelido e outros atributos da aplicação	As entradas correspondentes em `Claims`.
Associação a grupos	As funções ou as atribuições de acesso exigidos pela aplicação.

Conserve o objectGUID do AD e a associação à conta existente da aplicação no mapeamento da migração. Defina EmailVerified com base no estado de verificação conhecido; um atributo de e-mail no AD, por si só, não comprova esse estado.

Ative o início de sessão por e-mail, a autenticação por palavra-passe e a definição de palavras-passe por e-mail no método de autenticação Login. Guarde o CSV em UTF-8 com cabeçalhos sensíveis a maiúsculas e minúsculas e ponto e vírgula como separador. Este exemplo importa um utilizador fictício sem palavra-passe:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Configure o FoxIDs Seed Tool, defina SeedSettings.UsersSvcPath para o ficheiro CSV e selecione U para carregar os utilizadores. A ferramenta carrega os utilizadores em massa no ambiente FoxIDs configurado através da Control API.

No primeiro início de sessão, o utilizador recebe um código por e-mail, introduz esse código na página de início de sessão e escolhe uma nova palavra-passe. A palavra-passe é definida durante o início de sessão; o carregamento do CSV apenas cria as contas. A nova palavra-passe é gerida no FoxIDs independentemente do AD.

Preservar as contas das aplicações

O FoxIDs cria o seu próprio ID de utilizador persistente tanto para utilizadores aprovisionados através do conector como para utilizadores importados de CSV. A ligação ao diretório AD não transforma automaticamente o identificador existente de uma aplicação no respetivo FoxIDs sub ou SAML NameID.

Mantenha a associação entre o utilizador do AD e a conta existente da aplicação. Quando uma aplicação espera um valor de subject existente, disponibilize-o como claim do utilizador e configure uma transformação de claims no método de autenticação Login para produzir o sub necessário. Para aplicações SAML, configure o NameID e o formato necessários no registo de aplicação SAML. As aplicações que identificam contas por emissor e subject também precisam de associar o emissor do FoxIDs às contas existentes.

Depois de desativar o conector, as alterações a grupos e atributos usados no acesso às aplicações são mantidas no FoxIDs ou na aplicação. Um início de sessão de teste permite observar o subject resultante, as funções e a associação da conta.

Transferir aplicações do AD FS

Se as aplicações utilizam atualmente o AD FS, o FoxIDs pode ligar-se ao AD FS com SAML 2.0 enquanto estas são transferidas para o FoxIDs. O AD FS continua a ser o fornecedor de identidade nesta fase.

Mais tarde, as aplicações podem utilizar o FoxIDs Login com Directory Connector para autenticar diretamente no AD ou passar a contas locais do FoxIDs após a migração. O AD pode continuar como diretório quando o AD FS é removido do fluxo de início de sessão das aplicações.

Um início de sessão através do AD FS não fornece ao FoxIDs a palavra-passe do utilizador. Por isso, a migração gradual de palavras-passe ocorre quando os utilizadores iniciam sessão através do FoxIDs Login e Directory Connector. Mantenha a associação da conta da aplicação ao alternar entre estes métodos de autenticação.