拿起几乎任何一本关于项目监督的书，你会很快看到一个模式来建议如何让一个项目成功。当然，所有通常的建议，例如下面的项目，都适用于与身份相关的项目。确保项目有明确的目标和范围确定并从有代表性的利益相关者那里获取信息为项目的所有部分定义明确的所有权和角色根据利益相关者的意见制定一个现实的项目计划定期跟踪进度，网购返利，快速确定任何延误的原因这是一个很好的建议，但是为了创建一个实际的项目计划，您必须知道对于特定类型的部署通常需要做些什么。如果你的项目团队不具备这些知识呢？项目问题和延误的一个常见原因就是没有考虑到某些需求。许多身份管理项目由于一开始忽视了需求而被推迟。不要害怕-这篇文章将概述几个最常见的疏忽和陷阱的身份项目，以及如何避免它们。这些可大致分为三类：确定整个身份管理生命周期的需求，而不仅仅是登录为身份的失败和改变做好准备，这样你就可以为这些事件做好准备了满足安全和法规遵从性要求如果您在项目开始时考虑上述因素，那么在项目实施过程中，您将不会有太多的意外事件使您的项目脱轨。确定IDM项目需求的指南首先要检查的是需求规范是否考虑了整个身份管理生命周期。我经常告诉人们，他们会花更多的时间来实现如何注销，而不是如何登录，所以他们应该在项目早期定义注销应该如何工作，并在项目计划中留出足够的时间进行测试和实现。除了登录和注销之外，还有几个其他的要求，如果一开始就忘记了，可能会导致令人不快的意外和延迟。以下列表可能有助于您尽早了解需求：如何创建用户帐户？用户需要注册还是已经存在于其他地方需要迁移？如果用户需要注册，在哪里注册，所有的信息都会一次收集，还是需要渐进式分析？如果需要迁移用户，请考虑密码通常是散列的，不能按原样从一个系统转移到另一个系统，这就需要一种滴流迁移方法或密码重置。是否需要同步用户配置文件？是否需要在记录系统（权威源）和其他点（如应用程序用户存储）之间同步用户配置文件信息？如果可以避免同步，但遗留系统可能需要同步，则可以简化操作。用户名唯一性标识用于在登录时以及在所有应用程序之间标识用户的属性，并确保用户名标识符对于所有用户都是唯一的。你需要特别考虑可能发生的任何并购活动。这将有助于识别是否需要跨系统的标识符映射。用户将如何登录？好吧，没人会忘记这一点，但细节是关键。一定要考虑什么形式的身份验证适合您的用例：用户名和密码？无密码的认证形式？如果应用程序处理敏感数据或事务，多因素身份验证是否合适？Auth0 Passwordless是一个基于电子邮件或短信的插入式身份验证系统，可以提高安全性和用户体验。请访问auth0.com/passwordless查看。将使用哪些设备？身份验证流在移动设备和桌面设备类型中的工作方式不同。可悲的是，在这个时代，这仍然是一件事。安全配置，如可信站点的浏览器配置或移动设备管理软件可能会影响cookie、指纹等的使用，所有这些都会影响身份验证流。在开发周期的早期，一定要确定用户将要使用的设备并在所有设备上进行测试。是否需要单点登录？如果您向用户提供多个应用程序，云服务器是什么，云端云服务器，用户是否应该能够登录一次，然后在不重新登录的情况下访问其他应用程序？如果是，请务必考虑单个登录圈中的所有应用程序是否使用相同的身份验证机制和用户存储库。如果有多个用户存储库，针对其中任何一个的身份验证是否足以访问所有应用程序，或者需求是否更细粒度？Auth0支持客户应用程序的通用登录。与嵌入式登录相比，这提供了更高的安全性和更短的安装时间。是否应该使用多因素身份验证（MFA），如果是，何时？MFA提供了更高级别的身份验证，以更好地保护敏感资产。一定要考虑它是在初始身份验证时使用，还是只在用户访问更敏感的内容/事务时使用。有许多形式的MFA可用，所以一定要试验几种，并选择适合您的用户群体的形式。请务必测试初始注册的可用性，以及用户更改设备、电话号码或MFA流的任何其他方面时所需的任何重置过程。繁琐的流程可能会导致用户的挫败感和支持问题。了解有关多因素身份验证（MFA）的所有信息，以及如何立即在应用程序中使用它。当用户决定注销时会发生什么？处理注销按钮上的点击可能比看起来更棘手，低价云服务器，所以在设计的早期就要注意它。至少，应用程序维护的任何会话都应终止。如果应用程序将身份验证委托给外部身份提供程序/授权服务器，则可能需要终止其他会话。然而，终止这些额外的会话可能会从用户在其他应用程序中的活动中拉出众所周知的障碍。在完成所需的注销行为之前，请确保了解用户身份验证时创建的所有会话以及依赖于相同会话的任何其他应用程序。浏览器配置将如何影响会话？一定要了解浏览器配置对会话的影响。有些浏览器有配置选项，可以在关闭并重新启动浏览器后重新构建以前的会话。不要依靠关闭浏览器来终止用户的登录会话。在对用户问题进行故障排除时，支持团队需要了解此类浏览器配置选项，以及如何在故障排除时指导用户启动全新会话。此外，一定要询问是否可以从共享设备访问应用程序，如果是，请考虑如何保护忘记注销的用户。会话超时当用户登录时，他们的会话应该保持多长时间有效？如果他们忘记注销，他们的会话是否应该在一段时间后终止？您可能希望有一个空闲超时（当用户处于非活动状态一段时间时发生），以及一个无论用户活动如何都会发生的最大超时。别忘了考虑MFA会话的适当超时，以及是否应该允许用户绕过已知或常用设备的MFA。类似地，您应该指定用户是应该在每次登录时检查MFA流，还是只允许定期进行，例如每30天一次。了解有关如何使用Auth0管理会话超时的详细信息。取消供应：结束后会发生什么？离别是如此甜蜜的悲伤…或者不是。您应该考虑是否需要终止或挂起用户的帐户。您应该考虑审计需求，这些需求可能要求暂停帐户，但不删除帐户，以便在以后检测到欺诈时，您有足够的信息将日志文件中的用户ID绑定到真实的人。你也应该考虑到你的数据保留策略-你确实有一个，对吧？最后但并非最不重要的是，您应该确保这方面的规范与适用于您的目标用户群的任何相关隐私法规（如GDPR）保持一致。一定要研究并遵守相关司法管辖区隐私立法中的任何"被遗忘的权利"条款。密码重置没有什么是永恒的，密码也不例外。一定要为用户设计重置密码的流程，无论是当他们记住旧密码还是不记得旧密码时。您还应该指定对密码复杂性的要求，以及密码是否应该过期、是否需要轮换，如果是，多久一次。现在有一个关于密码过期和轮换是否有用的争论，所以你应该仔细阅读这方面的内容，并考虑最新的建议。忘记密码重置流是黑客常见的攻击媒介，因此请确保在安全测试中包括这些流。附加阅读：建立一个更好的P@$5w0rd的简单方法。来源阻止的用户这是生活的一个事实，好吧…生活发生了。一定要考虑是否会出现用户需要暂停一段时间的情况。这可能是由于拖欠的账单或一些无关痛痒的事情，比如有人暂时请了病假。考虑可能出现的情况，如何标记受这种情况影响的用户，以及在情况结束时解除阻止的过程。异常检测为了保护您的应用程序，您可能需要自动检测异常情况，大数据的发展前景，例如：有大量登录失败的特定用户。用户在短时间内从两个相隔甚远的地理位置登录的用户。用户的证书已被泄露，并在互联网上公布在黑客密码数据库中，如特洛伊·亨特的haveibeenpwned。Auth0提供了三个内置的屏蔽，可以检测应用系统中用户之间的异常。隐私/合规要求是的