Interna användare

Interna användare kan autentisera i en eller flera login autentiseringsmetoder i en miljö. Det gör det möjligt att anpassa inloggningsupplevelsen för olika applikationskrav.

Ladda upp dina användare från en CSV-fil, med eller utan lösenord.

För en översikt över användarbegrepp som interna användare, externa användare och externa användarlager, se användaröversikten.

Interna användare kan också tilldelas medlemskap i åtkomststruktur för att modellera hierarkisk åtkomst och lösa åtkomstclaims vid inloggning.

Användaridentifierare

Interna användare stöder tre användaridentifierare: e-post, telefonnummer och användarnamn. Dessa identifierare utgör legitimationen, alltså användarnamnsdelen, när en användare loggar in med användarnamn och lösenord.

E-postidentifierare kan vara upp till 100 tecken långa och användarnamn upp till 60 tecken långa. E-postadresser och användarnamn är skiftlägesokänsliga, och omgivande blanksteg tas bort före validering och matchning.

Konfigurera användaridentifierare i inloggningsautentiseringsmetoden

Du kan aktivera en, två eller alla tre identifierarna i inloggningsautentiseringsmetoden. Om mer än en identifierare är aktiverad kan användaren logga in med vilken aktiverad identifierare som helst. Identifierare som är definierade på en användare men inaktiverade i inloggningsautentiseringsmetoden sparas på användaren, men kan inte användas för att logga in via den inloggningsmetoden.

Endast telefonnummer som användaridentifierare. Phone number as user identifier

E-post, telefonnummer och användarnamn som användaridentifierare. Email, phone number and username as user identifier

Lösenordskontroll

Interna användare kan autentisera med ett lösenord. Lösenordet valideras mot den inbyggda lösenordspolicyn (standard eller policygrupp) och eventuellt ett externt lösenords-API.

Du kan också aktivera Directory Connector för miljön. I så fall delegeras lösenordsautentisering och lösenordets livscykel till en auktoritativ extern katalog medan användarna förblir interna användare i FoxIDs.

Inbyggd lösenordspolicy och åldring

Standardlösenordspolicyn konfigureras i miljöinställningarna i FoxIDs Control Client och gäller när ingen lösenordspolicygrupp har tilldelats användaren.

  1. Välj fliken Inställningar.
  2. Välj fliken Miljö.
  3. Leta reda på avsnittet Lösenordsinställningar.
  4. Konfigurera rutan Standardlösenordspolicy:
    • Lösenordets minsta längd och Lösenordets maximala längd anger det tillåtna intervallet.
    • Kontrollera variation och upprepning av tecken i lösenordet kräver minst tre av följande teckengrupper: gemener, versaler, siffror och symboler. Det avvisar också ett lösenord om ett tecken förekommer minst max(3, floor(password length / 2)) gånger; de upprepade tecknen behöver inte vara i följd.
    • Kontrollera lösenord mot e-post, telefonnummer och användarnamn kontrollerar alla tillgängliga användaridentifierare som är kopplade till användaren. E-postadresser delas upp enligt @, ., - och _; användarnamn delas också upp enligt :. Komponenter på fyra eller fler tecken får inte förekomma i lösenordet. Ett telefonnummer på fyra eller fler tecken kontrolleras efter att inledande + har tagits bort. Jämförelserna är inte skiftlägeskänsliga.
    • Kontrollera lösenord mot URL-relaterade ord avvisar URL-värd- och tjänstvägskomponenter på fyra eller fler tecken från det aktuella FoxIDs-sammanhanget. Jämförelserna är inte skiftlägeskänsliga.
    • Kontrollera lösenordsrisk baserat på globala lösenordsläckor avvisar lösenord som finns i risklistor. För egenhostade installationer, se risklösenord.
    • Förbjudna tecken (inte skiftlägeskänsligt) blockerar specifika tecken.
    • Lösenordshistorik (antal tidigare lösenord, 0 för att inaktivera) förhindrar återanvändning av nyligen använda lösenord.
    • Lösenordets maximala ålder i sekunder (0 för att inaktivera) tvingar fram en ändring när ett lösenord blir för gammalt.
    • Mjuk lösenordsändring i sekunder (0 för att inaktivera) tillåter en övergångsperiod. Vid inloggning uppmanas användaren att byta lösenord om det inte uppfyller kraven eller har gått ut, men användaren kan fortfarande logga in tills övergångsperioden löper ut.
  5. Klicka på Uppdatera.

Kontrollerna av de tre tecknen, användar-ID och URL-kontext är oberoende av varandra och aktiverade som standard. De kan konfigureras separat både i standardlösenordspolicyn och i varje lösenordspolicygrupp.

Inbyggd lösenordspolicy

Lösenordspolicygrupper

Du kan definiera upp till 10 lösenordspolicygrupper per miljö. En grupp åsidosätter standardlösenordspolicyn för de användare som tilldelas gruppen.

  1. Välj fliken Settings.
  2. Välj fliken Environment.
  3. Leta upp avsnittet Password settings.
  4. Konfigurera rutan Password policy groups.
  5. Klicka på Add policy group och ange policyvärdena, som är samma fält som i standardpolicyn, plus ett namn och eventuellt ett visningsnamn.
  6. Klicka på Update.

Tillämpa en grupp på en användare i Internal Users → redigera användaren → Advanced → Password policy, eller ange namnet på lösenordspolicyn vid provisionering via Control API. Om ingen grupp väljs används miljöns standardpolicy.

Externt lösenords-API

Du kan valfritt konfigurera ett externt lösenords-API för att validera lösenord och/eller meddela lösenordsändringar.

Om den inbyggda lösenordspolicyn avvisar lösenordet anropas inte det externa lösenords-API:t. Notifieringsmetoden i det externa lösenords-API:t anropas bara om lösenordet passerar alla konfigurerade policykontroller.

Lösenord eller engångskod (lösenordsfritt)

Login autentiseringsmetoden är som standard konfigurerad för användaridentifierare plus lösenord.

Du kan också aktivera engångskod (OTP) via e-post och/eller SMS för lösenordsfri inloggning, och du kan skapa flera login autentiseringsmetoder med olika kombinationer.

Om både lösenord och OTP är aktiverade visas alla aktiverade metoder. Gränssnittet kan också tillåta självbetjäning för att skapa konto. Login with password or select to login with one-time password via email or SMS

Om bara OTP via e-post är aktiverad: Login with one-time password via email

Skapa användare

Beroende på konfigurationen för den valda login metoden kan användare skapa ett konto online.

Användaren väljer att skapa ett nytt konto på inloggningssidan. Select create an account online

Det här exemplet visar formuläret för att skapa användare. New users create an account online

Sidan består av dynamiska element som kan anpassas per login metod. I det här exemplet innehåller formuläret fälten Given name, Family name, Email och Password. Fältet Email är den användaridentifierare som används vid inloggning.

Du kan begränsa kontoskapande online till valda e-postdomäner i login-metodens Create user konfiguration. Om inga tillåtna e-postdomäner är konfigurerade kan användare skapa ett konto med valfri giltig e-postadress. Lägg till tillåtna domäner utan @, till exempel some-customer.dk. Domänvärden måste vara lowercase-domäner utan inledande eller avslutande blanksteg. När tillåtna e-postdomäner är konfigurerade måste create-user formuläret innehålla exakt ett obligatoriskt dynamiskt Email-element markerat som användaridentifierare.

Domänbegränsningen kontrolleras mot den e-postadress som användaren har skrivit i create-user formuläret innan create-user claim transforms tillämpas. Det betyder att en claim transform inte kan göra en sign-up giltig genom att ändra den inskickade e-postdomänen.

Det här är konfigurationen i login metoden. Dessutom läggs claimen some_custom_claim till för varje användare som en konstant via en claim transform. Login configuration - create an account online

Provisionering

Interna användare kan skapas, uppdateras och tas bort i Control Client eller provisioneras via Control API. Du kan också ladda upp många användare från en CSV-fil. Configure user

Multifaktorautentisering (MFA)

Tvåfaktors- och multifaktorautentisering kan krävas per användare. Användaren måste då genomföra en extra faktor och kan registrera en authenticator app om den inte redan är registrerad.

Tillgängliga faktorer bestäms av login autentiseringsmetoden samt användarens data och inställningar. Se tvåfaktors- och multifaktorautentisering.

Under Internal Users → redigera användaren → Advanced → Two-factor kan en administratör se varje registrerad authenticator-app och ta bort registreringar individuellt. Listan visar beständigt registrerings-ID och registreringstid när den finns; authenticator-secrets visas inte. Registreringar kan också synkroniseras via Control API. Configure user MFA

Lösenordshash

Endast ett hashvärde av lösenordet lagras.

Hashsystemet stöder utveckling över tid. Hashmetadata, alltså algoritm och parametrar, lagras tillsammans med varje hash så att gamla hashvärden fortfarande kan valideras medan nya hashvärden använder nyare algoritmer eller parametrar.

Hashalgoritm som för närvarande stöds P2HS512:10:

  • HMAC (RFC 2104) med SHA-512 (FIPS 180-4)
  • 10 iterationer lagrade i hashmetadata, multiplicerat med 10 000 PBKDF2-rundor för totalt 100 000 iterationer
  • Saltlängd: 64 byte
  • Härledd nyckellängd: 80 byte
  • Hash och salt lagras som Base64 URL-kodade strängar, alltså Base64 utan padding

Standardbibliotek i .NET används för att beräkna hashvärdet.