CIAM a IAM dla pracowników
IAM dla pracowników (workforce) obsługuje osoby zatrudnione w firmie: ich konta zakłada dział HR lub IT, a logowanie dotyczy aplikacji firmowych. W CIAM użytkownikami są klienci i partnerzy, którzy rejestrują się samodzielnie, jest ich wielu i oczekują szybkiego logowania w Twoim produkcie.
Dlatego w CIAM liczą się skalowanie, wygoda rejestracji i ochrona danych klientów, a w IAM dla pracowników cykl życia kont i kontrola dostępu do aplikacji firmowych. Pracowników obsłużysz w Okta Workforce Identity, a klientów w Auth0.
B2C czy B2B
W modelu B2C klienci to osoby indywidualne, które logują się do Twojej aplikacji jako pojedyncze konta. W modelu B2B klientem jest firma, a jej pracownicy logują się jako członkowie tej organizacji, często przez firmowe SSO.
Do B2B Auth0 ma funkcjonalność Organizations: pozwala pogrupować użytkowników w organizacje, na przykład Twoich klientów albo partnerów, nadać każdej własne metody logowania i przypisać role w jej ramach. Dzięki temu możesz w jednym tenancie obsłużyć wielu klientów, każdego z jego własnymi zasadami logowania.
Logowanie społecznościowe, passkeys i MFA dla klientów
Logowanie przez konta społecznościowe, na przykład Google lub Apple, skraca czas potrzebny na rejestrację, bo użytkownik nie tworzy kolejnego hasła. Passkeys pozwalają logować się odciskiem palca, twarzą lub PIN-em urządzenia, bez hasła, i są odporne na phishing.
MFA dla klientów warto włączać wybiórczo: Auth0 oferuje adaptacyjne MFA, które wymaga drugiego faktora, gdy ryzyko logowania jest wyższe, żeby nie utrudniać każdego logowania o niskim ryzyku. Do wrażliwych działań po zalogowaniu stosuj osobno step-up authentication.
Migracja użytkowników z własnego systemu logowania
Jeśli masz już własną bazę użytkowników z hasłami, Auth0 pozwala przenieść ją na dwa sposoby. Pierwszy to import zbiorczy (bulk import) użytkowników z hashami haseł, ale Auth0 przyjmuje tylko obsługiwane algorytmy hashowania, więc najpierw sprawdź swój; jeśli go nie ma na liście, użytkownicy resetują hasła albo migrujesz ich stopniowo (lazy migration). Drugi to migracja stopniowa (lazy migration): użytkownik loguje się dotychczasowym hasłem, Auth0 sprawdza je w Twojej starej bazie przez skrypt w połączeniu typu database connection i zapisuje użytkownika u siebie, więc użytkownik nie musi resetować hasła, a sam proces migracji może się odbyć kompletnie bez jego ingerencji.
O wyborze decyduje między innymi obecny algorytm hashowania w Twojej bazie i to, jak szybko chcesz wyłączyć stary system.
Migracja użytkowników ze starego logowania.
−Wszyscy użytkownicy dostają prośbę o reset hasła, więc część z nich może nie wrócić do produktu.
+Migrujemy stopniowo, tak aby użytkownik logował się dotychczasowym hasłem.
Jeden zestaw zasad logowania dla wielu klientów B2B.
−Wszyscy użytkownicy podlegają tym samym zasadom, więc nie da się spełnić wymagań firmowego SSO jednego klienta.
+Każdego klienta możemy skonfigurować jako oddzielną organizację, z własnym połączeniem logowania.
Identity as Code: Terraform i Deploy CLI
Konfigurację Auth0 (aplikacje, połączenia, Actions, role) możesz trzymać jako kod i zmieniać przez przegląd zmian, tak jak resztę aplikacji. Służą do tego dostawca Terraform dla Auth0 i Auth0 Deploy CLI.
Dzięki temu środowiska dev, test i produkcja mają odpowiednią konfigurację, a każdą zmianę widać w historii repozytorium.
RODO a CIAM
Dane klientów w CIAM, to dane osobowe, więc od początku warto ustalić role: zwykle Ty jesteś administratorem danych, a dostawca CIAM podmiotem przetwarzającym, z którym zawierasz umowę powierzenia przetwarzania. W praktyce pomagają cztery rzeczy:
- Minimalizacja danych: w profilu zbieraj tylko pola, których produkt naprawdę potrzebuje.
- Region tenanta: wybierz region, w którym Auth0 ma przechowywać dane, zgodnie z Twoimi wymaganiami co do lokalizacji danych.
- Prawa osób, których dane dotyczą: przygotuj proces usunięcia konta i eksportu danych na żądanie użytkownika, na przykład przez Management API.
- Zgody: zapisuj zgody osobno dla każdego celu, na przykład marketingu.
Zakres obowiązków ustal z inspektorem ochrony danych (IOD) lub prawnikiem.
CEO
Jan Czajkowski jest CEO i współzałożycielem Zelto, oficjalnym partnerem Okty, który pomaga organizacjom projektować, wdrażać i utrzymywać zarządzanie tożsamością i dostępem.
Więcej od Jana →Porozmawiajmy o logowaniu klientów
Opowiedz nam o swoim produkcie i obecnym systemie logowania, a pomożemy wybrać model i plan migracji. Jeśli wolisz e-mail, napisz na hello@zelto.id.