Учебное пособие: Включение возможности обратной записи изменений для самостоятельного сброса пароля Microsoft Entra в локальную среду.

С помощью Microsoft Entra самостоятельного сброса пароля (SSPR) пользователи могут обновлять пароли или разблокировать учетные записи с помощью веб-браузера. Мы рекомендуем это видео о том, как включить и настроить SSPR в Entra ID. В гибридной среде, где Microsoft Entra ID подключены к локальной среде доменные службы Active Directory (AD DS), пароли могут отличаться между двумя каталогами.

Вы можете использовать обратную запись паролей для синхронизации изменений паролей в Microsoft Entra обратно в локальную среду AD DS. Microsoft Entra Connect предоставляет безопасный механизм для отправки этих изменений паролей обратно в существующий локальный каталог из идентификатора Microsoft Entra.

В этом руководстве описано следующее:

Предварительные условия

Для работы с этим учебником требуются следующие ресурсы и разрешения:

• Рабочий клиент Microsoft Entra с включенной лицензией Microsoft Entra ID P1 или пробной лицензией.
  • Создайте ее бесплатно, если нужно.
  • Дополнительные сведения см. в разделе "Требования к лицензированию" для Microsoft Entra SSPR.
• Учетная запись с администратором гибридной идентичности.
• Идентификатор Microsoft Entra настроен для самостоятельного сброса пароля.
  • При необходимости завершите предыдущий учебник, чтобы включить Microsoft Entra SSPR.
• Существующая локальная среда AD DS, настроенная с текущей версией Microsoft Entra Connect.
  • При необходимости настройте Microsoft Entra Connect с помощью параметров Express или Custom .
  • Для использования компонента обратной записи паролей на контроллерах домена может быть запущена любая поддерживаемая версия Windows Server.

Настройка разрешений учетной записи для Microsoft Entra Connect

Microsoft Entra Connect позволяет синхронизировать пользователей, группы и учетные данные между локальной средой AD DS и идентификатором Microsoft Entra. Обычно вы устанавливаете Microsoft Entra Connect на компьютере Windows Server 2016 или более поздней версии, присоединенном к локальному домену AD DS.

Чтобы правильно работать с обратной записью SSPR, учетная запись, указанная в Microsoft Entra Connect, должна иметь соответствующие разрешения и параметры. Если вы не уверены, какая учетная запись сейчас используется, откройте Microsoft Entra Connect и выберите параметр "Просмотреть текущую конфигурацию ". Учетная запись, в которую необходимо добавить разрешения, указана в разделе "Синхронизированные каталоги". Для учетной записи необходимо задать следующие разрешения и параметры:

• Сброс пароля
• Изменить пароль
• разрешения на запись для lockoutTime;
• разрешения на запись для pwdLastSet;
• Расширенные права на Снятие срока действия пароля для корневого объекта каждого домена в данном лесу, если они еще не назначены.

Если не назначить эти разрешения, обратная запись паролей может выглядеть настроенной правильно, но пользователи будут сталкиваться с ошибками при управлении паролями в локальной среде из облака. При настройке разрешений Unexpire Password в Active Directory необходимо применить его к этому объекту и всем дочерним объектам, только к этому объекту или ко всем дочерним объектам; в противном случае разрешение Unexpire Password не отображается.

Чтобы настроить соответствующие разрешения для обратной записи паролей, выполните следующие шаги.

1. В локальной среде AD DS откройте Пользователи и компьютеры Active Directory с учетной записью с соответствующими разрешениями администратора домена.
2. В меню Представление включите параметр Расширенные возможности.
3. На левой панели щелкните правой кнопкой мыши объект, представляющий корень домена, и выберите Свойства>Безопасность>Дополнительно.
4. На вкладке Разрешения нажмите кнопку Добавить.
5. Для параметра Principal выберите учетную запись, для которой должны применяться разрешения (учетную запись, которую использует Microsoft Entra Connect).
6. Из раскрывающегося списка Применяется к выберите Descendent User objects (Дочерние объекты-пользователи).
7. В разделе "Разрешения" выберите поле для сброса пароля.
8. В разделе Свойства установите флажки для следующих параметров. Прокрутите список, чтобы найти эти параметры, которые уже могут быть заданы по умолчанию:

• Записать время блокировки

• Write pwdLastSet (записать pwdLastSet)

  

1. Когда все готово, нажмите кнопку "Применить/ ОК ", чтобы применить изменения.
2. На вкладке Разрешения нажмите кнопку Добавить.
3. Для Principal выберите учетную запись, которой назначаются разрешения (эту учетную запись использует Microsoft Entra Connect).
4. В раскрывающемся списке "Область применения" выберите этот объект и все объекты-потомки
5. В разделе "Разрешения" выберите поле для следующего параметра:
   • Отмена пароля
6. Когда все будет готово, щелкните Применить и "ОК", чтобы применить изменения, а затем закройте все открытые диалоговые окна.

При обновлении разрешений их репликация на всех объектах каталога может занять час или больше.

Политики паролей в локальной среде AD DS могут препятствовать правильной обработке сброса паролей. Чтобы обратная запись паролей работала наиболее эффективно, групповая политика для минимального возраста пароля должна иметь значение 0. Этот параметр можно найти в разделе Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies в gpmc.msc.

Если вы обновили групповую политику, дождитесь репликации обновлённой политики или используйте команду gpupdate /force.

Включение обратной записи паролей в Microsoft Entra Connect

Одним из вариантов конфигурации в Microsoft Entra Connect является обратная запись паролей. Если этот параметр включен, события изменения пароля заставляют Microsoft Entra Connect синхронизировать обновленные учетные данные в локальную среду AD DS обратно.

Чтобы включить обратную запись SSPR, сначала включите параметр обратной записи в Microsoft Entra Connect. На сервере Microsoft Entra Connect выполните следующие действия.

1. Войдите на сервер Microsoft Entra Connect и запустите мастер настройки Microsoft Entra Connect .
2. На странице Приветствие нажмите кнопку Настроить.
3. На странице "Дополнительные задачи " выберите "Настройка параметров синхронизации", а затем нажмите кнопку "Далее".
4. На странице Connect to Microsoft Entra ID введите учетные данные гибридного администратора для клиента Azure, а затем выберите Next.
5. На страницах фильтров Подключить каталоги и Домен или подразделение нажмите кнопку Далее.
6. На странице Дополнительные компоненты установите флажок рядом с параметром Обратная запись паролей и нажмите кнопку Далее.
7. На странице Расширения каталогов щелкните Далее.
8. На странице Готово к настройке щелкните Настроить и дождитесь завершения процесса.
9. После завершения настройки нажмите кнопку Выход.

Включение обратной записи паролей для SSPR

После включения обратной записи паролей в Microsoft Entra Connect теперь можно настроить Microsoft Entra SSPR для обратной записи. Вы можете настроить SSPR для обратной записи с помощью агентов синхронизации Microsoft Entra Connect и агентов подготовки Microsoft Entra Connect (облачная синхронизация). При включении SSPR для использования обратной записи паролей обновленный пароль пользователей, которые меняют или сбрасывают свой пароль, автоматически синхронизируется с локальной средой AD DS.

Чтобы включить обратную запись паролей в SSPR, сделайте следующее:

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли администратора гибридной идентификации.
2. Перейдите к идентификатору Entra>сброс пароля, а затем выберите интеграция на локальном уровне.
3. Проверьте параметр обратной записи паролей в локальный каталог.
4. (необязательно) Если обнаружены агенты подготовки Microsoft Entra Connect, можно дополнительно выбрать параметр записи паролей обратно с помощью облачной синхронизации Microsoft Entra Connect.
5. Задайте параметр разрешить пользователям разблокировать учетные записи без сброса пароля на "Да".
6. Когда все будет готово, щелкните Сохранить.

Очистка ресурсов

Если вы больше не хотите использовать функцию обратной записи SSPR, настроенную с помощью этого руководства, сделайте следующее:

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли администратора гибридной идентификации.
2. Перейдите к идентификатору Entra>сброс пароля, а затем выберите интеграция на локальном уровне.
3. Снимите флажок параметра Обратная запись паролей в локальный каталог.
4. Снимите флажок параметра обратной записи паролей с помощью облачной синхронизации Microsoft Entra Connect.
5. Снимите флажок Разрешить пользователям разблокировать учетные записи без сброса пароля.
6. Когда все будет готово, щелкните Сохранить.

Если вы больше не хотите использовать облачную синхронизацию Microsoft Entra Connect для функции обратной записи SSPR, но хотите продолжить использование агента синхронизации Microsoft Entra Connect для обратной записи выполните следующие действия.

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли администратора гибридной идентификации.
2. Перейдите к идентификатору Entra>сброс пароля, а затем выберите интеграция на локальном уровне.
3. Снимите флажок параметра обратной записи паролей с помощью облачной синхронизации Microsoft Entra Connect.
4. Когда все будет готово, щелкните Сохранить.

Если вы больше не хотите использовать какие-либо функции паролей, выполните следующие действия с сервера Microsoft Entra Connect:

1. Войдите на сервер Microsoft Entra Connect и запустите мастер настройки Microsoft Entra Connect .
2. На странице Приветствие нажмите кнопку Настроить.
3. На странице "Дополнительные задачи " выберите "Настройка параметров синхронизации", а затем нажмите кнопку "Далее".
4. На странице Connect to Microsoft Entra ID введите учетные данные гибридного администратора, а затем выберите Next.
5. На страницах фильтров Подключить каталоги и Домен или подразделение нажмите кнопку Далее.
6. На странице Дополнительные компоненты снимите флажок рядом с параметром Обратная запись паролей и нажмите кнопку Далее.
7. На странице Готово к настройке щелкните Настроить и дождитесь завершения процесса.
8. После завершения настройки нажмите кнопку Выход.

Следующие шаги

В этом руководстве вы включили обратную запись Microsoft Entra SSPR в локальную среду AD DS. Вы научились выполнять следующие задачи: