Importer les inscriptions des utilisateurs aux authentificateurs MFA

Décrit comment importer les inscriptions aux authentificateurs MFA de vos utilisateurs existants.

Vous pouvez importer les inscriptions d’un utilisateur à MFA au moyen de la migration automatique et de l’importation groupée d’utilisateurs. Les types d’inscription pris en charge sont les suivants :

• Courriel : pour la vérification par courriel.
• Téléphone : pour la vérification par SMS.
• OTP : pour les mots de passe à usage unique (OTP) utilisés avec des applications d’authentification, comme Google Authenticator.

L’importation des inscriptions à la MFA offre une expérience utilisateur fluide, puisque les utilisateurs n’auront pas à se réinscrire après la migration.

L’expérience de connexion classique ne prend pas en charge la sélection du facteur pour les utilisateurs ayant plusieurs facteurs. Si vous prévoyez d’importer des utilisateurs avec plusieurs facteurs enregistrés, envisagez d’utiliser l’expérience Universal Login.

​

Schéma

Le schéma s’applique aux facteurs MFA dans les deux flux de travail suivants.

{
    "type": "array",
    "items": {
        "type": "object",
        "properties": {
            "totp": {
                "type": "object",
                "properties": {
                "secret": {
                    "type": "string",
                        "pattern": "^[A-Z2-7]+$",
                        "description": "The OTP secret is used for MFA authentication with Google Authenticator type apps. It must be supplied in un-padded Base32 encoding, such as: JBTWY3DPEHPK3PNP"
                    },
                },
                "additionalProperties": false,
                "required": ["secret"],
            },
            "phone": {
                "type": "object",
                "properties": {
                "value": {
                    "type": "string",
                    "pattern": "^\\+[0-9]{1,15}$",
                    "description": "The phone number for SMS or Voice MFA. The phone number should include a country code and begin with +, such as: [phone]"
                },
                },
                "additionalProperties": false,
                "required": ["value"],
            },
            "email": {
                "type": "object",
                "properties": {
                    "value": {
                        "type": "string",
                        "format": "email",
                        "description": "The email address for MFA"
                    },
                },
                "additionalProperties": false,
                "required": ["value"],
            },
        },
        "maxProperties": 1,
        "additionalProperties": false,
    },
    "minItems": 1,
    "maxItems": 10
}

​

Migration automatique

Les inscriptions MFA peuvent aussi être importées pendant une migration automatique. Pour ce faire, fournissez les inscriptions existantes dans le champ mfa_factors de l’utilisateur transmis à la fonction de rappel à la fin de votre script de connexion pour la base de données personnalisée.

Tout échec apparaîtra dans les journaux de votre locataire comme une connexion échouée, et pourra être distingué des autres échecs par sa description : Unable to import MFA factors. Par exemple :

{
  "_id": "5e9df3b29ebabe00571c04a7",
  "date": "2020-04-20T19:10:42.916Z",
  "type": "fu",
  "description": "Unable to import MFA factors.",
  "connection": "Username-Password-Authentication",
  "connection_id": "con_mMkvaycgzgCS0p0z",
  "client_id": "aCbTAJNi5HbsjPJtRpSP6BIoLPOrSj2Cgg",
  "client_name": "All Applications",
  "ip": "10.12.13.1",
  "client_ip": null,
  "user_agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.149 Safari/537.36",
  "details": {
    "error": {
      "message": "Unable to import MFA factors."
    }
  },
  "user_name": "[e-mail]",
  "strategy": "auth0",
  "strategy_type": "database"
}

​

Importation groupée d’utilisateurs

1. Préparez un fichier users.json. Consultez les importations groupées d’utilisateurs pour en savoir plus.
2. Incluez les inscriptions MFA existantes pour chaque utilisateur.
3. Lancez une importation groupée d’utilisateurs.
4. Mettez à jour les facteurs des utilisateurs existants en activant l’option upsert dans votre requête initiale.
5. Une fois la tâche d’importation terminée, vérifiez la réponse pour repérer toute erreur. Si l’importation des facteurs MFA de certains utilisateurs a échoué, vous verrez des erreurs comme :

Lorsque vous utilisez l’option upsert, toute mise à jour d’utilisateurs existants qui ne concerne pas la MFA est appliquée au profil de l’utilisateur. Par exemple, le résumé d’erreur suivant montre que l’attribut picture de l’utilisateur a bien été défini à http://example.org/jdoe.png, mais que nous n’avons pas pu importer les facteurs MFA fournis. Dans ce cas, vous pouvez relancer l’importation en toute sécurité pour les utilisateurs ayant échoué.

[
  {
    "user": {
      "email": "[e-mail]",
      "picture": "http://example.org/jdoe.png",
      "mfa_factors": [
        {
          "totp": {
            "secret": "2PRXZWZAYYDAWCD"
          }
        },
        {
          "phone": {
            "value": "[phone]"
          }
        },
        {
          "email": {
            "value": "[e-mail]"
          }
        }
      ]
    },
    "errors": [
      {
        "code": "MFA_FACTORS_FAILED",
        "message": "Unable to import factors"
      }
    ]
  }
]

​

Codes de récupération

Auth0 n’offre aucun moyen d’importer des codes de récupération. Lorsque les facteurs MFA de l’utilisateur sont importés, aucun code de récupération ne l’est.

Pour fournir un code de récupération aux utilisateurs, vous pouvez vérifier s’ils en ont déjà un d’inscrit et, sinon, utiliser le point de terminaison de régénération du code de récupération pour en générer un nouveau.

​

Pour en savoir plus

• Configurer la migration automatique depuis votre base de données
• Importation groupée d’utilisateurs