Migrera Active Directory användare till FoxIDs

Flytta Active Directory (AD) användare och applikationsinloggningar till FoxIDs och behåll AD som användarkatalog, flytta gradvis lösenordsvalideringen till FoxIDs eller importera användare och låt dem välja ett nytt lösenord.

Den här tekniska guiden omfattar användare i Active Directory Domain Services (AD DS), deras lösenord och applikationskonton. Guiden för Directory Connector för Active Directory beskriver installation och konfiguration.

Förbered målmiljön och applikationerna

En särskild testmiljö gör det möjligt att prova tillvägagångssättet med en liten grupp användare och en applikation före övergången till produktion.

1. Om du vill ha en anpassad domän konfigurerar du den innan applikationer eller externa identitetsleverantörer ansluts. Om domänen ändras senare behöver de externa konfigurationer som använder FoxIDs URL:er uppdateras.
2. Varje miljö har en förvald Login autentiseringsmetod med namnet login. Anpassa dess varumärkesprofilering och inloggningsgränssnitt och aktivera de inloggningsidentifierare som behövs, till exempel e-post eller användarnamn.
3. Registrera applikationerna i FoxIDs och konfigurera deras omdirigerings-URL:er, utloggningsbeteende och nödvändiga claims. Protokollbryggning stöder applikationer som använder olika protokoll under övergången.

FoxIDs kan tillämpa flerfaktorsautentisering för användare som loggar in via Login, även användare vars lösenord valideras mot AD. FoxIDs Cloud erbjuder leverans av e-post och SMS beroende på vald FoxIDs Cloud plan.

Behåll AD som katalog

Installera Directory Connector för Active Directory på en Windows/IIS-server som når domänkontrollanterna. FoxIDs kommunicerar med anslutningskomponenten via HTTPS. Konfigurera dess användaruppslagning i AD, returnerade attribut och eventuella gruppclaims som applikationerna använder.

Aktivera anslutningskomponenten under Settings > Environment > Directory connector settings med dess API-URL och hemlighet. Aktivera lösenordsautentisering och de identifierare som komponenten returnerar i Login autentiseringsmetoden. Inaktivera användarregistrering i Login; nya användare skapas i AD och etableras i FoxIDs via anslutningskomponenten.

När en användare anger sin identifierare hämtar FoxIDs det aktuella AD-kontot och skapar eller uppdaterar den interna FoxIDs användaren. Anslutningskomponenten använder AD:s objectGUID för att behålla kontokopplingen när inloggningsidentifierare ändras. Lösenordsautentisering validerar det angivna lösenordet mot AD. Ingen CSV-import behövs för detta tillvägagångssätt.

AD hanterar fortsatt lösenord och de användaruppgifter som anslutningskomponenten returnerar. FoxIDs kan behålla anslutningen som en permanent integration. Den valfria lokala lösenordskopian stöder en senare migrering; den används inte för autentisering medan anslutningskomponenten är aktiverad.

Migrera lösenord gradvis

Börja med konfigurationen ovan och behåll Save local password aktiverat, vilket är standardinställningen. Övergången fungerar så här:

1. Användarna loggar in via FoxIDs Login med sina befintliga AD-lösenord.
2. Efter lyckad lösenordsvalidering sparar FoxIDs en lokal lösenordshash på samma interna användare. Lösenordsändringar och återställningar som slutförs via FoxIDs uppdaterar också den lokala hashen.
3. Inaktivera Directory Connector i miljöinställningarna för att växla till lokal lösenordsvalidering i FoxIDs. Befintliga FoxIDs användare och deras sparade lösenord finns kvar.

Directory Connector konfigureras för hela miljön, så när den inaktiveras övergår miljön till lokal validering. Efter bytet hanteras användare, lösenord och åtkomständringar i FoxIDs; ändringar i AD uppdaterar inte längre användarna via anslutningskomponenten.

Den lokala lösenordskopian återspeglar den senaste lyckade lösenordsvalideringen, ändringen eller återställningen via FoxIDs. En senare lösenordsändring som endast görs i AD blir tillgänglig lokalt nästa gång användaren autentiserar sig med det lösenordet via FoxIDs.

Användare som ännu inte har etablerats kan importeras med CSV-metoden nedan. Befintliga användare utan en lokal lösenordskopia kan använda Glömt ditt lösenord? efter bytet, med lösenordsåterställning via e-post eller SMS aktiverad i Login autentiseringsmetoden. Återställningen använder deras befintliga FoxIDs konton.

Du kan prova övergången i en testmiljö genom att logga in med en AD-användare, inaktivera anslutningskomponenten och starta en ny lösenordsinloggning. Samma lösenord autentiserar då lokalt. En användare utan sparat lösenord kan i stället genomföra det konfigurerade flödet för att skapa eller återställa lösenord.

Importera användare för att skapa lösenord

För en direkt övergång till lokala FoxIDs användare hämtar du de valda AD-användarna och konverterar deras attribut till Seed Tools CSV-format. Microsofts kommando Get-ADUser stöder val av användare med filter eller sökbas samt hämtning av nödvändiga attribut.

Mappa de uppgifter som applikationen behöver:

Behåll AD:s objectGUID och kopplingen till det befintliga applikationskontot i migreringsmappningen. Ange EmailVerified utifrån känt verifieringstillstånd; ett e-postattribut i AD fastställer inte i sig detta tillstånd.

Aktivera e-postinloggning, lösenordsautentisering och skapande av lösenord via e-post i Login autentiseringsmetoden. Spara CSV-filen som UTF-8 med skiftlägeskänsliga rubriker och semikolon som avgränsare. Det här exemplet importerar en fiktiv användare utan lösenord:

Email;Username;EmailVerified;SetPasswordEmail;DisableAccount
alice@example.com;alice;false;true;false

Konfigurera FoxIDs Seed Tool, ange CSV-filen i SeedSettings.UsersSvcPath och välj U för att ladda upp användarna. Verktyget massimporterar användarna till den konfigurerade FoxIDs miljön via Control API.

Vid första inloggningen får användaren en e-postkod, anger den på inloggningssidan och väljer ett nytt lösenord. Lösenordet skapas vid inloggningen; uppladdningen av CSV-filen skapar bara kontona. Det nya lösenordet hanteras i FoxIDs oberoende av AD.

Behåll applikationskonton

FoxIDs skapar ett eget beständigt användar-ID för både användare som etableras via anslutningskomponenten och användare som importeras från CSV. Kopplingen till AD-katalogen gör inte automatiskt applikationens befintliga identifierare till dess FoxIDs sub eller SAML NameID.

Behåll kopplingen mellan AD-användaren och det befintliga applikationskontot. Om en applikation förväntar sig ett befintligt subject-värde gör du det tillgängligt som en användarclaim och konfigurerar en claim-transformering i Login autentiseringsmetoden för att skapa nödvändigt sub. För applikationer med SAML konfigurerar du nödvändigt NameID och format i applikationsregistreringen för SAML. Applikationer som identifierar konton med issuer och subject behöver även koppla FoxIDs issuer till de befintliga kontona.

När anslutningskomponenten har inaktiverats underhålls ändringar av grupper och attribut som används för applikationsåtkomst i FoxIDs eller applikationen. En testinloggning låter dig granska resulterande subject, roller och kontokoppling.

Flytta applikationer från AD FS

Om applikationerna i dag använder AD FS kan FoxIDs ansluta till AD FS med SAML 2.0 medan applikationerna flyttas till FoxIDs. AD FS förblir identitetsleverantör under denna fas.

Applikationerna kan senare använda FoxIDs Login med Directory Connector för att autentisera direkt mot AD, eller använda lokala FoxIDs användare efter migreringen. AD kan förbli katalog när AD FS tas bort från applikationernas inloggningsflöde.

En inloggning via AD FS ger inte FoxIDs användarens lösenord. Gradvis lösenordsmigrering sker därför när användarna loggar in via FoxIDs Login och Directory Connector. Behåll applikationens kontokoppling när du byter mellan dessa autentiseringsmetoder.

Relaterad dokumentation

• Migreringsöversikt
• Directory Connector för Active Directory
• Directory Connector och lokala lösenordskopior
• Ladda upp många användare
• Inloggningskonfiguration
• Anslut till AD FS med SAML 2.0