Migrar utilizadores: importar palavras-passe e MFA

https://apx.didit.me/auth/v2/organizations/{org_id}/applications/{application_id}/authentication/

​

Duas formas de importar

​

Importar um ficheiro

​

1. Carregar

curl --fail-with-body "${MANAGEMENT_BASE}import-jobs/" \
  -H "Authorization: Bearer $CONSOLE_ACCESS_TOKEN" \
  -F file=@users.csv \
  -F passwords=import \
  -F keep_social=true \
  -F keep_verified=true \
  -F keep_mfa=true \
  -F keep_ids=true

​

2. Verificar a simulação

​

3. Iniciar a importação

• As pessoas são importadas em lotes de 1000. Cada lote é gravado de forma independente.
• Apenas uma importação é executada de cada vez por aplicação (caso contrário, devolve import_running).
• Uma importação interrompida retoma a partir do último lote gravado.
• As pessoas já importadas são ignoradas, por isso pode executar novamente o mesmo ficheiro.
• A pessoa que iniciou a importação recebe um e-mail quando esta termina ou para.

​

Importar em lotes

{
  "rows": [
    {
      "email": "user@example.com",
      "external_id": "user-1234",
      "email_verified": true,
      "display_name": "Example User",
      "password_hash": "$2b$12$...",
      "social": [{ "provider": "google", "subject": "1234567890" }],
      "organizations": [{ "slug": "acme", "name": "Acme", "role": "admin" }]
    }
  ],
  "dry_run": true,
  "idempotency_key": "migration-batch-0001"
}

• Uma simulação devolve 200 com o resultado e não grava nada.
• Com dry_run: false, uma importação bem-sucedida devolve 201. Um lote com qualquer erro devolve 400 e não importa ninguém.
• Repetir um pedido já gravado com a mesma chave devolve o resultado registado. A mesma chave com conteúdo diferente devolve 400 {"idempotency_key": "different_payload"}.
• Os parâmetros do Firebase vão num objeto firebase: {signer_key, salt_separator, rounds, mem_cost}.
• GET imports/ lista os lotes gravados.

​

Formato do ficheiro

​

JSON

​

CSV

email,external_id,email_verified,password_hash,google_id,organization_slug,organization_role
user@example.com,user-1234,true,$2b$12$...,1234567890,acme,admin

​

Duplicados e contas existentes

• As linhas com o mesmo e-mail tornam-se uma só pessoa. Uma linha idêntica é contada como duplicado. Uma linha com mais ligações, organizações ou uma aplicação de autenticação é fundida com a pessoa.
• Dois hashes de palavras-passe diferentes, dois segredos de autenticação diferentes ou duas funções diferentes nas organizações para a mesma pessoa são erros. Também é erro um external_id ou um identificador de fornecedor reivindicado por duas pessoas.
• Se já existir uma conta com esse e-mail e uma importação anterior a tiver criado, a pessoa é ignorada (already_imported). Se a pessoa se tiver registado por conta própria, é um erro identity_conflict. Uma importação nunca altera uma conta existente.

​

Palavras-passe

​

Pessoas sem palavra-passe utilizável

​

Ligações sociais, aplicações de autenticação e organizações

• Ligações sociais são mantidas para os fornecedores que a sua aplicação já configurou, com o ID de cliente atual. Um início de sessão posterior não precisa então de prova de e-mail. Os identificadores do Google e do GitHub são globais. Os identificadores da Apple são por equipa de programadores e os da Microsoft são por registo de aplicação, pelo que essas ligações só correspondem se a sua plataforma antiga usava a mesma equipa ou o mesmo registo. As ligações a fornecedores que não configurou são contadas como social_unavailable e não são importadas.
• Aplicações de autenticação (segredos TOTP: SHA-1, 6 dígitos, 30 segundos) são guardadas encriptadas. As pessoas importadas têm de as usar como segundo fator. Não recebem códigos de recuperação.
• Organizações que ainda não existem são criadas a partir do respetivo slug.
• Chaves de acesso não podem ser importadas. Pertencem ao seu antigo domínio de início de sessão, pelo que as pessoas adicionam uma nova chave de acesso depois de iniciarem sessão com a Didit.

​

Resultados

​

Antes de fazer a transição

• o início de sessão com cada formato de palavra-passe que importar,
• o e-mail para definir uma nova palavra-passe de uma pessoa sem hash utilizável,
• o início de sessão social e os códigos das aplicações de autenticação das pessoas importadas,
• a execução do mesmo ficheiro duas vezes.