ข้ามไปยังเนื้อหาหลัก

จัดการผู้ใช้

จัดการผ่าน Logto Console​

เรียกดูและค้นหาผู้ใช้​

เพื่อเข้าถึงฟังก์ชันการจัดการผู้ใช้ใน Logto Console ให้ไปที่ Console > การจัดการผู้ใช้ เมื่อเข้าไปแล้ว คุณจะเห็นตารางแสดงผู้ใช้ทั้งหมด

ตารางประกอบด้วย 3 คอลัมน์:

  • ผู้ใช้: แสดงข้อมูลเกี่ยวกับผู้ใช้ เช่น อวาตาร์ ชื่อเต็ม ชื่อผู้ใช้ หมายเลขโทรศัพท์ และอีเมล
  • จากแอปพลิเคชัน: แสดงชื่อแอปพลิเคชันที่ผู้ใช้ลงทะเบียนครั้งแรก
  • การลงชื่อเข้าใช้ล่าสุด: แสดงเวลาที่ผู้ใช้ลงชื่อเข้าใช้ล่าสุด

รองรับการค้นหาด้วยคีย์เวิร์ดสำหรับ name, id, username, primary-phone, primary-email

เพิ่มผู้ใช้​

นักพัฒนาสามารถสร้างบัญชีใหม่ให้ผู้ใช้ปลายทางผ่าน Console ได้ โดยคลิกปุ่ม "เพิ่มผู้ใช้" ที่มุมขวาบนของหน้าจอ

เมื่อสร้างผู้ใช้ใน Logto Console คุณต้องระบุ identifier อย่างน้อยหนึ่งอย่าง ได้แก่ primary email, primary phone หรือ username ฟิลด์ name เป็นตัวเลือก ข้อกำหนดนี้ใช้เฉพาะใน Console เท่านั้น Create user endpoint ของ Management API สามารถสร้างผู้ใช้โดยไม่ต้องมี identifier เหล่านี้ก็ได้

หลังจากสร้างผู้ใช้ Logto จะสร้างรหัสผ่านแบบสุ่มให้อัตโนมัติ รหัสผ่านเริ่มต้นจะแสดงเพียงครั้งเดียว แต่คุณสามารถ รีเซ็ตรหัสผ่าน ได้ในภายหลัง หากต้องการตั้งรหัสผ่านเฉพาะ ให้ใช้ Management API patch /api/users/{userId}/password เพื่ออัปเดตหลังจากสร้างผู้ใช้แล้ว

คุณสามารถคัดลอก identifier ที่กรอก (อีเมล / เบอร์โทร / ชื่อผู้ใช้) และ รหัสผ่านเริ่มต้น ได้ในคลิกเดียว เพื่อให้แชร์ข้อมูลนี้กับผู้ใช้ใหม่สำหรับการลงชื่อเข้าใช้และเริ่มต้นใช้งานได้ง่าย

เคล็ดลับ:

หากต้องการให้ลงทะเบียนแบบเชิญเท่านั้น แนะนำให้ เชิญผู้ใช้ด้วย magic link วิธีนี้จะอนุญาตเฉพาะผู้ใช้ที่อยู่ใน whitelist ให้ลงทะเบียนและตั้งรหัสผ่านเอง

ดูและอัปเดตโปรไฟล์ผู้ใช้​

เพื่อดูรายละเอียดของผู้ใช้ ให้คลิกแถวที่ต้องการในตารางผู้ใช้ จะเข้าสู่หน้า "รายละเอียดผู้ใช้" ซึ่งจะแสดงข้อมูลโปรไฟล์ของผู้ใช้ รวมถึง:

  • ข้อมูลที่เกี่ยวข้องกับการยืนยันตัวตน (Authentication):
    • อีเมล (primary_email): แก้ไขได้
    • เบอร์โทรศัพท์ (primary_phone): แก้ไขได้
    • ชื่อผู้ใช้ (username): แก้ไขได้
    • รหัสผ่าน (has_password): สามารถสร้างรหัสผ่านแบบสุ่มใหม่ได้ ดูเพิ่มเติมที่ "รีเซ็ตรหัสผ่านผู้ใช้"
    • การยืนยันตัวตนหลายปัจจัย (MFA) (mfa_verification_factor): ดูปัจจัยการยืนยันตัวตนทั้งหมด (เช่น passkey, แอป authenticator, โค้ดสำรอง) ที่ผู้ใช้ตั้งค่าไว้ สามารถลบปัจจัยเหล่านี้ใน Console ได้
    • Passkey: เมื่อ passkey sign-in เปิดใช้งานใน tenant คุณสามารถดู passkey สำหรับลงชื่อเข้าใช้ของผู้ใช้ในหน้าโปรไฟล์และลบได้หากต้องการ Passkey เหล่านี้ใช้โมเดล WebAuthn เดียวกับ MFA
    • Personal access token: สร้าง ดู เปลี่ยนชื่อ และลบ personal access token
  • การเชื่อมต่อ (Connection):
    • การเชื่อมต่อโซเชียล (Social connections) (identities):
      • ดูบัญชีโซเชียลที่เชื่อมโยงของผู้ใช้ รวมถึง social ID และข้อมูลโปรไฟล์ที่ซิงก์จากผู้ให้บริการโซเชียล (เช่น หากผู้ใช้ลงชื่อเข้าใช้ด้วย Facebook จะมีรายการ "Facebook" ปรากฏ)
      • สามารถลบ social identity ที่มีอยู่ได้ แต่ไม่สามารถเชื่อมโยงบัญชีโซเชียลใหม่แทนผู้ใช้ได้
      • สำหรับตัวเชื่อมต่อโซเชียลที่เปิด token storage สามารถดูและจัดการ access token และ refresh token ได้ในหน้ารายละเอียดการเชื่อมต่อ
    • การเชื่อมต่อ Enterprise SSO (sso_identities):
      • ดู enterprise identity ที่เชื่อมโยงของผู้ใช้ รวมถึง enterprise ID และข้อมูลโปรไฟล์ที่ซิงก์จากผู้ให้บริการข้อมูลระบุตัวตนขององค์กร
      • ไม่สามารถเพิ่มหรือลบ enterprise SSO identity ใน Console ได้
      • สำหรับตัวเชื่อมต่อองค์กรที่ใช้ OIDC และเปิด token storage สามารถดูและลบ token ได้ในหน้ารายละเอียดการเชื่อมต่อ
  • ข้อมูลโปรไฟล์ผู้ใช้: ชื่อ, URL อวาตาร์, ข้อมูลกำหนดเอง และ OpenID Connect standard claims อื่น ๆ ที่ไม่ได้รวมไว้ ทุกฟิลด์โปรไฟล์เหล่านี้สามารถแก้ไขได้
  • เซสชัน: ดูรายการเซสชันที่ผู้ใช้กำลังใช้งาน รวมถึงข้อมูลอุปกรณ์ sessionId และตำแหน่ง GEO หากมี ดูรายละเอียดเพิ่มเติมของเซสชันและเพิกถอนในหน้ารายละเอียดเซสชัน
คำเตือน:

ควรตรวจสอบให้แน่ใจว่าผู้ใช้มีวิธีลงชื่อเข้าใช้อื่นก่อนลบการเชื่อมต่อโซเชียล เช่น การเชื่อมต่อโซเชียลอื่น เบอร์โทรศัพท์ อีเมล หรือชื่อผู้ใช้พร้อมรหัสผ่าน หากไม่มีวิธีอื่น ผู้ใช้จะไม่สามารถเข้าถึงบัญชีได้อีกหลังจากลบการเชื่อมต่อโซเชียล

ดูกิจกรรมของผู้ใช้​

เพื่อดูประวัติกิจกรรมล่าสุดของผู้ใช้ ให้ไปที่แท็บย่อย "User logs" ในหน้า "รายละเอียดผู้ใช้" จะมีตารางแสดงกิจกรรมล่าสุดของผู้ใช้ เช่น การกระทำ ผลลัพธ์ แอปที่เกี่ยวข้อง และเวลาที่ดำเนินการ

คลิกแถวในตารางเพื่อดูรายละเอียดเพิ่มเติมใน user log เช่น IP address, user agent, raw data ฯลฯ

ระงับผู้ใช้​

ในหน้า "รายละเอียดผู้ใช้" คลิก "จุดสามจุด" -> ปุ่ม "ระงับผู้ใช้"

เมื่อผู้ใช้ถูกระงับ จะไม่สามารถลงชื่อเข้าใช้แอปของคุณและจะไม่สามารถขอโทเค็นการเข้าถึงใหม่หลังจากโทเค็นปัจจุบันหมดอายุได้ นอกจากนี้ คำขอ API ใด ๆ ที่ผู้ใช้นี้ทำจะล้มเหลว

หากต้องการเปิดใช้งานผู้ใช้นี้อีกครั้ง ให้คลิก "จุดสามจุด" -> ปุ่ม "เปิดใช้งานผู้ใช้"

ลบผู้ใช้​

ในหน้า "รายละเอียดผู้ใช้" คลิก "จุดสามจุด" -> ปุ่ม "ลบ" การลบผู้ใช้ไม่สามารถย้อนกลับได้

รีเซ็ตรหัสผ่านผู้ใช้​

ในหน้า "รายละเอียดผู้ใช้" คลิก "จุดสามจุด" -> ปุ่ม "รีเซ็ตรหัสผ่าน" จากนั้น Logto จะสร้างรหัสผ่านแบบสุ่มใหม่ให้อัตโนมัติ

หลังจากรีเซ็ตรหัสผ่านแล้ว ให้คัดลอกและส่งให้ผู้ใช้ปลายทาง เมื่อปิด modal "รีเซ็ตรหัสผ่าน" แล้ว จะไม่สามารถดูรหัสผ่านได้อีก หากลืมบันทึกไว้ สามารถรีเซ็ตใหม่ได้

คุณไม่สามารถตั้งรหัสผ่านเฉพาะให้ผู้ใช้ใน Logto Console ได้ แต่สามารถใช้ Management API PATCH /api/users/{userId}/password เพื่อกำหนดรหัสผ่านได้

หมดอายุรหัสผ่านผู้ใช้​

หากสงสัยว่ารหัสผ่านของผู้ใช้อาจถูกเปิดเผย สามารถหมดอายุรหัสผ่านเพื่อให้ผู้ใช้ต้องรีเซ็ตในครั้งถัดไปที่ลงชื่อเข้าใช้ ในหน้า "รายละเอียดผู้ใช้" คลิกปุ่ม "หมดอายุ" ข้างรหัสผ่านของผู้ใช้และยืนยัน หรือเรียก Management API PATCH /api/users/{userId}/password/expiration พร้อม { "isExpired": true }

ต้องเปิดใช้งาน นโยบายหมดอายุรหัสผ่าน หลังจากกรอกรหัสผ่านถูกต้อง ผู้ใช้จะเข้าสู่ flow ลืมรหัสผ่านเพื่อยืนยันด้วยโค้ดที่ส่งไปยังอีเมลหรือเบอร์โทรและตั้งรหัสผ่านใหม่ การหมดอายุรหัสผ่านจะไม่ยุติเซสชันที่มีอยู่ ดังนั้นหากต้องการตัดการเข้าถึงทันที ให้ เพิกถอนเซสชันที่ใช้งานอยู่ของผู้ใช้ ด้วย

จัดการเซสชันที่ใช้งานของผู้ใช้​

ในหน้า "รายละเอียดผู้ใช้" ไปที่หน้า "รายละเอียดเซสชัน" โดยคลิกปุ่ม "จัดการ" ของเซสชันที่ต้องการ ที่นี่คุณสามารถดูข้อมูลรายละเอียดของเซสชัน เช่น อุปกรณ์ ตำแหน่ง และเวลาลงชื่อเข้าใช้ หากต้องการออกจากระบบผู้ใช้จากเซสชันนี้ ให้คลิกปุ่ม "เพิกถอนเซสชัน" ที่มุมขวาบน เซสชันจะถูกเพิกถอนทันที

  • โดยปกติการเพิกถอนเซสชันใน Console จะเพิกถอน grant ของแอป first-party ทั้งหมดที่เกี่ยวข้องกับเซสชันนั้นด้วย ผู้ใช้ต้องลงชื่อเข้าใช้อีกครั้งเพื่อเข้าถึงใหม่ โทเค็นทึบ (opaque access token) และโทเค็นรีเฟรช (refresh token) ที่ออกให้แอป first-party จะถูกเพิกถอนทันที
  • สำหรับแอป third-party ที่มีขอบเขต offline_access การเพิกถอนเซสชันจะไม่เพิกถอน grant ของแอปโดยอัตโนมัติ โทเค็นรีเฟรชที่ออกไว้ยังคงใช้งานได้จนกว่าจะหมดอายุ grant, หมดอายุ refresh token หรือถูกเพิกถอนโดยตรง

จัดการแอป third-party ที่ผู้ใช้อนุญาต​

ในหน้า "รายละเอียดผู้ใช้" คุณสามารถใช้ส่วน "แอป third-party ที่ได้รับอนุญาต" เพื่อตรวจสอบสถานะการอนุญาตแอปของผู้ใช้ ส่วนนี้เชื่อมต่อกับ API การจัดการแอปที่ผู้ใช้อนุญาต (grant)

สำหรับแต่ละแอปที่ได้รับอนุญาต Console จะแสดง:

  • ชื่อแอป
  • App ID
  • เวลาสร้างการเข้าถึง

หากต้องการลบการเข้าถึง ให้คลิก revoke และยืนยันใน modal

การเพิกถอนการอนุญาตแอปจะลบ grant third-party ที่ใช้งานทั้งหมดของแอปนั้นสำหรับผู้ใช้ และจะเพิกถอนโทเค็นทึบและโทเค็นรีเฟรชที่ออกให้แอปนั้นทันที

ตรวจสอบความสอดคล้องของรหัสผ่าน​

หลังจากอัปเดต นโยบายรหัสผ่าน ใน Logto ผู้ใช้ที่มีอยู่ยังคงลงชื่อเข้าใช้ด้วยรหัสผ่านเดิมได้ เฉพาะบัญชีที่สร้างใหม่เท่านั้นที่ต้องปฏิบัติตามนโยบายรหัสผ่านที่อัปเดต

เพื่อบังคับใช้ความปลอดภัยที่เข้มงวดยิ่งขึ้น คุณสามารถใช้ POST /api/sign-in-exp/default/check-password API เพื่อตรวจสอบว่ารหัสผ่านของผู้ใช้ตรงตามนโยบายปัจจุบันในประสบการณ์การลงชื่อเข้าใช้เริ่มต้นหรือไม่ หากไม่ตรง สามารถแจ้งผู้ใช้ให้อัปเดตรหัสผ่านด้วย flow กำหนดเองโดยใช้ Account API

จัดการบทบาทของผู้ใช้​

ในแท็บ "บทบาท (Roles)" ของหน้าโปรไฟล์ผู้ใช้ คุณสามารถกำหนดหรือลบบทบาทได้อย่างง่ายดาย ดูรายละเอียดที่ การควบคุมการเข้าถึงตามบทบาท (RBAC)

ดูองค์กรที่ผู้ใช้สังกัด​

Logto รองรับ องค์กร และสามารถจัดการสมาชิกได้ คุณสามารถดูรายละเอียดผู้ใช้และดูว่าอยู่ในองค์กรใดได้อย่างง่ายดาย

จัดการผ่าน Logto Management API​

Management API คือชุด API ที่ให้เข้าถึงบริการ backend ของ Logto ตามที่กล่าวไว้ API ผู้ใช้เป็นส่วนสำคัญของบริการนี้และรองรับหลายกรณีการใช้งาน

API ที่เกี่ยวข้องกับผู้ใช้แบบ RESTful จะอยู่ที่ /api/users ยกเว้นกิจกรรมผู้ใช้ (user logs) ที่ /api/logs?userId=:userId

คุณสามารถจัดการผู้ใช้ผ่าน Management API ได้ในหลายกรณี เช่น ค้นหาผู้ใช้ขั้นสูง, สร้างบัญชีจำนวนมาก, ลงทะเบียนแบบเชิญเท่านั้น ฯลฯ

คำถามที่พบบ่อย​

จะจำกัดการเข้าถึงแอปบางตัวสำหรับผู้ใช้บางคนได้อย่างไร?​

เนื่องจากธรรมชาติของ Omni-sign-in ของ Logto จึงไม่ได้ออกแบบมาเพื่อจำกัดการเข้าถึงแอปบางตัวก่อนการยืนยันตัวตน อย่างไรก็ตาม คุณยังสามารถออกแบบบทบาทและสิทธิ์ของผู้ใช้เฉพาะแอปเพื่อปกป้องทรัพยากร API ของคุณ และตรวจสอบสิทธิ์เมื่อเข้าถึง API หลังจากผู้ใช้ลงชื่อเข้าใช้สำเร็จ ดูรายละเอียดที่ การอนุญาต (Authorization): การควบคุมการเข้าถึงตามบทบาท (RBAC)