团队为何选择切换
| Duende | Authagonal | |
|---|---|---|
| Operating model | You host, patch & scale it | Fully hosted & managed |
| SAML | Paid add-on on the license | Included |
| Admin portal & MFA | Build it yourself | Included |
| Audit logs | Build it yourself | Included |
| Upgrades & patches | Your responsibility | Handled for you |
| Licensing | $5,750/yr+ per production deployment | From $29/mo, or self-host free |
迁移如何进行
- 01
连接数据库
粘贴一个指向您 Duende 配置 / ASP.NET Identity 数据库的只读连接字符串。连接仅在预览或运行导入所需的时间内保持打开。
- 02
预览所有内容
准确查看将导入多少个客户端、scope、用户、角色、联合提供方和 API 资源，并对任何自定义或未映射的内容给出警告。
- 03
一键导入
客户端（包括 logout URI、refresh token 语义和 device code 生命周期）、API 与 identity 的 scope、带有 ASP.NET Identity 密码哈希的用户、角色与分配，以及 OIDC 提供方都会被迁移过来。
- 04
Owner-ID 对账
如果门户 owner 的邮箱与某个 Duende 用户匹配，其 ID 会被切换为 Duende 的 sub，以便下游引用仍可解析——若某一步失败，还有三阶段恢复机制。
- 05
完成切换
将您的 relying party 重新指向 Authagonal。密码哈希会被原生验证，并在首次登录时重新哈希，因此无需任何用户重置密码。
哪些内容会被迁移
- 客户端与 client secret
- API 与 identity 的 scope
- API 资源（已扁平化）
- 用户与 ASP.NET Identity 哈希
- 角色与分配
- 外部登录
- 联合 OIDC 提供方
- 同意屏幕品牌（logo、URL）
坦诚的细节
- ASP.NET Identity V3 和旧版 BCrypt 密码哈希会在 Authagonal 中被原生验证，并在首次登录时重新哈希——无需用户重置密码。
- 被禁用的客户端会以禁用状态导入；过期的 client secret 会被跳过并给出警告，让您知道需要轮换它们。
- Duende 的 ApiResource 层会被扁平化到 Authagonal 的模型上——audience 落到客户端上，claim 落到 scope 上——从而保留有效的 token 结构。
- SAML 身份提供方会被标记为需要在门户中重新配置；OIDC 提供方会自动导入。