Utilizadores
Os utilizadores são guardados no repositório de utilizadores do ambiente. Para obter várias stores de utilizadores, cria ambientes adicionais e assim obtém mais repositórios de utilizadores.
Existem dois tipos diferentes de utilizadores:
- Utilizadores internos, autenticados com o método de autenticação login.
- Utilizadores externos, ligados por um método de autenticação a um utilizador/identidade externa com um claim. Os utilizadores são autenticados num Identity Provider externo e podem ser resgatados com base, por exemplo, num claim
email(veja a secção Provision and redeem na documentação de utilizadores externos).
Pode usar Directory Connector quando os utilizadores internos devem existir no ambiente FoxIDs, mas a autenticação por palavra-passe e o ciclo de vida da palavra-passe devem ser delegados para um diretório externo autoritativo.
Outra opção é autenticar contra uma store de utilizadores externa existente via API. Neste caso, os utilizadores não são guardados como utilizadores internos no ambiente. Os utilizadores podem opcionalmente ser criados como utilizadores externos.
Também pode modelar acesso hierárquico para utilizadores internos e externos com estrutura de acesso e atribuir memberships a nós da estrutura de acesso.
Revogar refresh tokens e sessões ativas
O FoxIDs revoga automaticamente os grants de refresh token e as sessões ativas de um utilizador quando um utilizador interno ou externo é desativado ou eliminado. O mesmo se aplica quando um utilizador externo expirado é removido. Os authorization codes não são revogados porque têm uma duração curta e só podem ser utilizados uma vez.
As alterações às memberships numa estrutura de acesso também revogam os grants de refresh token e as sessões ativas afetados. Isto acontece quando as memberships de um utilizador são alteradas, quando uma estrutura de acesso começa a desativar utilizadores ou quando é eliminada. As memberships limitadas no tempo são verificadas quando um refresh token ou uma sessão ativa é utilizado, impedindo que um acesso expirado ou removido continue a ser utilizado.
No FoxIDs Control Client, utilize os separadores Refresh Token Grants e Active Sessions na página de utilizadores do ambiente para encontrar e revogar o acesso. Pode pesquisar através de um ID de utilizador FoxIDs, endereço de e-mail, número de telefone, nome de utilizador ou sub. Os utilizadores federados que não estão guardados no FoxIDs podem ser encontrados através dos identificadores disponíveis para eles. Os filtros adicionais permitem limitar os resultados a uma authentication method, aplicação ou sessão específica.
A revogação de uma sessão ativa também revoga os grants de refresh token associados à sessão e que correspondem aos filtros selecionados. Os detalhes da sessão ativa mostram o nome e o tipo do método de autenticação que criou a sessão.
A eliminação de um ambiente remove as respetivas sessões ativas e grants de refresh token. A eliminação de um tenant remove os mesmos dados de todos os respetivos ambientes.
Os grants de refresh token têm um período máximo de inatividade e uma duração absoluta de um ano. Cada renovação utiliza as definições de duração atuais da aplicação, incluindo alterações efetuadas após a emissão do grant. A duração absoluta é medida a partir da criação original do grant; a renovação e a rotação de tokens preservam esse ponto de partida. Cada renovação bem-sucedida renova o período de inatividade dentro do limite absoluto. Um grant que tenha atingido a sua duração absoluta é rejeitado e eliminado quando é utilizado.
Quando um refresh token é emitido ou renovado, o FoxIDs conserva a sessão ativa associada durante a duração restante atual do token. Se vários grants de refresh token partilharem uma sessão, esta é conservada até à data de expiração necessária mais tardia. Iniciar sessão através do FoxIDs com uma sessão de utilizador existente pode prolongar a sessão ativa de acordo com as definições de sessão do método de autenticação, sem renovar o grant de refresh token. A atividade dos refresh tokens não prolonga a sessão de autenticação do utilizador no navegador. A sessão ativa pode continuar disponível para refresh tokens após a expiração da sessão de autenticação no navegador. A revogação explícita invalida a sessão e os grants associados.
Bloqueio por falhas de início de sessão
FoxIDs contabiliza as tentativas de início de sessão falhadas para cada identificador de utilizador e tipo de falha. Quando o limite é atingido dentro do período configurado, as tentativas subsequentes são bloqueadas durante o período de bloqueio. O utilizador é desbloqueado automaticamente quando esse período termina.
O Directory Connector usa as mesmas definições para limitar quantas vezes se pode introduzir email, telefone ou nome de utilizador numa sequência. Todos os identificadores partilham o limite. Ao atingi-lo, o utilizador deve esperar pelo fim do bloqueio ou iniciar uma nova sequência.
O bloqueio aplica-se à autenticação de utilizadores através dos métodos de início de sessão e início de sessão externo, incluindo falhas de verificação de palavra-passe, código único e MFA.
Esta funcionalidade de segurança ajuda a prevenir ataques de força bruta às contas de utilizador. Configure o limite de tentativas, o intervalo de tempo entre tentativas e o período de bloqueio de acordo com os seus requisitos de segurança.
No FoxIDs Control Client, selecione o ambiente e abra Users > Failing Login Lockout para ver os bloqueios ativos. Escolha End lockout para remover um bloqueio antes de expirar.
O bloqueio é configurado nas definições do ambiente, em FoxIDs Control Client.
- Selecione o separador Definições.
- Selecione o separador Ambiente.
- Localize a secção Bloqueio por falhas de início de sessão.
- Defina o Limite de tentativas de início de sessão falhadas, por exemplo,
5tentativas. - Defina o Intervalo de tempo entre tentativas de início de sessão falhadas em segundos, por exemplo,
36000durante 10 horas. - Defina o Período de bloqueio em segundos, por exemplo,
3600durante 60 minutos.
- Clique em Atualizar.