Utilizadores internos
Os utilizadores internos podem autenticar-se em um ou mais métodos de autenticação de login num ambiente. Isto torna possível personalizar a experiência de início de sessão para diferentes requisitos de aplicação.
Carregue os seus utilizadores a partir de um ficheiro CSV, com ou sem palavra-passe.
Para uma visão geral dos conceitos de utilizador, como utilizadores internos, utilizadores externos e stores de utilizadores externas, consulte a visão geral de utilizadores.
Também podem ser atribuídas aos utilizadores internos memberships de estrutura de acesso para modelar acesso hierárquico e resolver claims de acesso durante o login.
Identificadores de utilizador
Os utilizadores internos suportam três identificadores de utilizador: email, número de telefone e username. Estes identificadores formam a credencial, que é a parte username quando um utilizador inicia sessão com username e palavra-passe.
Pode ativar um, dois ou os três identificadores no método de autenticação de login. Se estiver ativado mais do que um identificador, o utilizador pode iniciar sessão com qualquer identificador ativado.
Apenas número de telefone como identificador de utilizador.
Email, número de telefone e username como identificadores de utilizador.
Verificação de palavra-passe
Os utilizadores internos podem autenticar-se com uma palavra-passe. A palavra-passe é validada contra a política de palavra-passe incorporada (predefinida ou grupo de política) e, opcionalmente, uma external password API.
Também pode ativar o Directory Connector para o ambiente. Nesse caso, a autenticação por palavra-passe e o ciclo de vida da palavra-passe são delegados para um diretório externo autoritativo enquanto os utilizadores permanecem utilizadores internos no FoxIDs.
Política de palavra-passe incorporada e antiguidade
A política de palavra-passe predefinida é configurada nas definições do ambiente no FoxIDs Control Client e aplica-se quando nenhum grupo de política de palavra-passe está atribuído ao utilizador.
- Selecione o separador Settings.
- Selecione o separador Environment.
- Encontre a secção Password settings.
- Configure a caixa Default password policy:
- Password min length e Password max length definem o intervalo permitido.
- Check password complexity impõe variedade de classes de caracteres e garante que a palavra-passe não contém partes do URL nem identificadores de utilizador como email, telefone ou username.
- Check password risk based on global password breaches rejeita palavras-passe encontradas em listas de risco. Para implementações self-hosted, veja risk passwords.
- Banned characters (case-insensitive) bloqueia caracteres específicos.
- Password history (number of previous passwords, 0 to disable) impede a reutilização de palavras-passe recentes.
- Password max age in seconds (0 to disable) força uma alteração quando uma palavra-passe fica demasiado antiga.
- Soft password change in seconds (0 to disable) permite um período de tolerância. Durante o login, uma palavra-passe não conforme ou expirada pede ao utilizador que a altere, mas o utilizador pode ainda iniciar sessão até o período de tolerância expirar.
- Clique em Update.
Grupos de política de palavra-passe
Pode definir até 10 grupos de política de palavra-passe por ambiente. Um grupo substitui a política de palavra-passe predefinida para os utilizadores aos quais é atribuído.
- Selecione o separador Settings.
- Selecione o separador Environment.
- Encontre a secção Password settings.
- Configure a caixa Password policy groups.
- Clique em Add policy group e defina os valores da política, que são os mesmos campos da política predefinida, mais um nome e um display name opcional.
- Clique em Update.
Aplique um grupo a um utilizador em Internal Users → editar utilizador → Advanced → Password policy, ou defina o nome da política de palavra-passe ao provisionar através da Control API. Se nenhum grupo for selecionado, é usada a política predefinida do ambiente.
External password API
Pode opcionalmente configurar uma external password API para validar palavras-passe e/ou notificar sobre alterações de palavra-passe.
Se a política de palavra-passe incorporada rejeitar a palavra-passe, a external password API não é chamada. O método de notificação na external password API só é chamado se a palavra-passe passar em todas as verificações de política configuradas.
Palavra-passe ou one-time password (passwordless)
O método de autenticação login está configurado por predefinição para identificador de utilizador mais palavra-passe.
Também pode ativar one-time password (OTP) por email e/ou SMS para início de sessão passwordless, e pode criar vários métodos de autenticação de login com combinações diferentes.
Se tanto a palavra-passe como OTP estiverem ativados, todos os métodos ativados são oferecidos. A UI também pode permitir criação self-service de conta.
Se apenas OTP por email estiver ativado:
Criar utilizador
Dependendo da configuração do método login selecionado, os utilizadores podem criar uma conta online.
O utilizador escolhe criar uma nova conta na página de login.
Este exemplo mostra o formulário de criação de utilizador.
A página é composta por elementos dinâmicos que podem ser personalizados por método login. Neste exemplo, o formulário contém os campos Given name, Family name, Email e Password. O campo Email é o identificador de utilizador usado para o início de sessão.
Pode restringir a criação de conta online a domínios de email selecionados na configuração Create user do método login. Se não forem configurados domínios de email permitidos, os utilizadores podem criar uma conta com qualquer endereço de email válido. Adicione os domínios permitidos sem @, por exemplo some-customer.dk. Os valores de domínio têm de ser domínios lowercase sem espaços iniciais ou finais. Quando estão configurados domínios de email permitidos, o formulário create-user tem de incluir exatamente um elemento dinâmico Email obrigatório marcado como identificador de utilizador.
A restrição de domínio é verificada contra o endereço de email introduzido pelo utilizador no formulário create-user antes de serem aplicadas as create-user claim transforms. Isto significa que uma claim transform não pode tornar uma sign-up válida alterando o domínio de email submetido.
Esta é a configuração no método login. Além disso, o claim some_custom_claim é adicionado a cada utilizador como uma constante através de uma claim transform.
Provisioning
Os utilizadores internos podem ser criados, atualizados e eliminados no Control Client ou provisionados através da Control API. Também pode carregar muitos utilizadores a partir de um ficheiro CSV.
Autenticação multifator (MFA)
A autenticação de dois fatores e multifator pode ser exigida por utilizador. O utilizador tem então de concluir um fator adicional e pode registar uma app autenticadora se ainda não estiver registada.
Os fatores disponíveis são determinados pelo método de autenticação de login e pelos dados e definições do utilizador. Veja autenticação de dois fatores e multifator.
Pode ver se uma app autenticadora está registada, e um administrador pode desativá-la.
Hash da palavra-passe
Apenas é guardado um hash da palavra-passe.
O subsistema de hashing suporta evolução. Os metadados do hash, ou seja, o algoritmo e os parâmetros, são guardados com cada hash para que hashes antigos continuem a poder ser validados enquanto hashes novos usam algoritmos ou parâmetros mais recentes.
Algoritmo de hash atualmente suportado P2HS512:10:
- HMAC (
RFC 2104) com SHA-512 (FIPS 180-4) - 10 iterações guardadas nos metadados do hash, multiplicadas por 10.000 rondas PBKDF2 para um total de 100.000 iterações
- Comprimento do salt: 64 bytes
- Comprimento da chave derivada: 80 bytes
- Hash e salt são guardados como strings codificadas em Base64 URL, que é Base64 sem padding
São usadas bibliotecas padrão de .NET para calcular o hash.