Importar inscripciones en autenticadores MFA de usuarios

Describe cómo importar las inscripciones en autenticadores MFA de sus usuarios existentes.

Puede importar las inscripciones de un usuario en MFA con la migración automática y las importaciones masivas de usuarios. Los tipos de inscripción compatibles son:

• Correo electrónico: para la verificación por correo electrónico.
• Teléfono: para la verificación por SMS.
• OTP: para contraseñas de un solo uso (OTP) utilizadas con aplicaciones de autenticación, como Google Authenticator.

Importar las inscripciones en MFA ofrece una experiencia de usuario fluida, ya que los usuarios no tendrán que volver a inscribirse después de la migración.

La experiencia de inicio de sesión clásica no admite la selección de factores para usuarios con varios factores. Si planea importar usuarios con varios factores registrados, considere usar la experiencia de Universal Login.

​

Esquema

El esquema se aplica a los factores de MFA en ambos de los siguientes flujos de trabajo.

{
    "type": "array",
    "items": {
        "type": "object",
        "properties": {
            "totp": {
                "type": "object",
                "properties": {
                "secret": {
                    "type": "string",
                        "pattern": "^[A-Z2-7]+$",
                        "description": "The OTP secret is used for MFA authentication with Google Authenticator type apps. It must be supplied in un-padded Base32 encoding, such as: JBTWY3DPEHPK3PNP"
                    },
                },
                "additionalProperties": false,
                "required": ["secret"],
            },
            "phone": {
                "type": "object",
                "properties": {
                "value": {
                    "type": "string",
                    "pattern": "^\\+[0-9]{1,15}$",
                    "description": "The phone number for SMS or Voice MFA. The phone number should include a country code and begin with +, such as: [phone]"
                },
                },
                "additionalProperties": false,
                "required": ["value"],
            },
            "email": {
                "type": "object",
                "properties": {
                    "value": {
                        "type": "string",
                        "format": "email",
                        "description": "The email address for MFA"
                    },
                },
                "additionalProperties": false,
                "required": ["value"],
            },
        },
        "maxProperties": 1,
        "additionalProperties": false,
    },
    "minItems": 1,
    "maxItems": 10
}

​

Migración automática

Las inscripciones de MFA también se pueden importar durante una migración automática. Para ello, proporciona cualquier inscripción existente en el campo mfa_factors del usuario que se pasa al callback al final de tu script de inicio de sesión.

Cualquier error aparecerá en los registros de tu inquilino como un inicio de sesión fallido y se distinguirá de otros errores por su descripción: Unable to import MFA factors. Por ejemplo:

{
  "_id": "5e9df3b29ebabe00571c04a7",
  "date": "2020-04-20T19:10:42.916Z",
  "type": "fu",
  "description": "Unable to import MFA factors.",
  "connection": "Username-Password-Authentication",
  "connection_id": "con_mMkvaycgzgCS0p0z",
  "client_id": "aCbTAJNi5HbsjPJtRpSP6BIoLPOrSj2Cgg",
  "client_name": "All Applications",
  "ip": "10.12.13.1",
  "client_ip": null,
  "user_agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.149 Safari/537.36",
  "details": {
    "error": {
      "message": "Unable to import MFA factors."
    }
  },
  "user_name": "[e-mail]",
  "strategy": "auth0",
  "strategy_type": "database"
}

​

Importación masiva de usuarios

1. Prepare un archivo users.json. Consulte importaciones masivas de usuarios para obtener más información.
2. Incluya las inscripciones a MFA existentes de cada usuario.
3. Inicie una importación masiva de usuarios.
4. Actualice los factores de los usuarios existentes habilitando la opción upsert en la solicitud inicial.
5. Una vez que se complete la tarea de importación, revise la respuesta para detectar cualquier error. Si no se pudieron importar algunos de los factores de MFA de los usuarios, verá errores como los siguientes:

Al usar la opción upsert, cualquier actualización de los usuarios existentes no relacionada con MFA se habrá aplicado al perfil del usuario. Por ejemplo, el siguiente resumen de errores muestra que el atributo picture del usuario se estableció correctamente en http://example.org/jdoe.png; sin embargo, no pudimos importar los factores de MFA proporcionados. En casos como este, es seguro volver a intentar la importación para los usuarios que fallaron.

[
  {
    "user": {
      "email": "[e-mail]",
      "picture": "http://example.org/jdoe.png",
      "mfa_factors": [
        {
          "totp": {
            "secret": "2PRXZWZAYYDAWCD"
          }
        },
        {
          "phone": {
            "value": "[phone]"
          }
        },
        {
          "email": {
            "value": "[e-mail]"
          }
        }
      ]
    },
    "errors": [
      {
        "code": "MFA_FACTORS_FAILED",
        "message": "Unable to import factors"
      }
    ]
  }
]

​

Códigos de recuperación

Auth0 no ofrece una forma de importar códigos de recuperación. Cuando se importan los factores de MFA del usuario, estos no contarán con un código de recuperación.

Para proporcionar un código de recuperación a los usuarios, puede comprobar si ya tienen uno registrado y, de no ser así, usar el endpoint de regeneración de código de recuperación para generar uno nuevo.

​

Más información

• Configurar la migración automática desde su base de datos
• Importaciones masivas de usuarios