Zulassen der Änderung von Active Directory-Kennwörtern durch Benutzer über Intelligent Hub

Durch das Konfigurieren der Einstellungen in Omnissa Access können Sie Benutzern die Möglichkeit einräumen, ihre Active Directory-Kennwörter über die Omnissa Workspace ONE® Intelligent Hub-App oder das Omnissa Workspace ONE Intelligent Hub-Portal jederzeit zu ändern. Benutzer können ihre Active Directory-Kennwörter auch über die Anmeldeseite zurücksetzen, wenn das Kennwort abgelaufen ist oder wenn der Active Directory-Administrator das Kennwort zurückgesetzt hat, sodass der Benutzer das Kennwort bei der nächsten Anmeldung ändern muss.

Sie legen diese Option pro Verzeichnis fest, indem Sie auf der Registerkarte Einstellungen des Verzeichnisses die Option Änderung des Kennworts aktivieren auswählen.

Benutzer können, wenn sie beim Intelligent Hub angemeldet sind, ihre Kennwörter mit einem Klick auf ihren Namen rechts oben, Auswählen von Konto aus dem Dropdown-Menü und einen Klick auf den Link Kennwort ändern ändern. In der Intelligent Hub-App haben Benutzer die Möglichkeit, ihre Kennwörter durch einen Klick auf das Menüsymbol mit den drei Balken und Auswählen von Kennwort zu ändern.

Abgelaufene Kennwörter oder vom Administrator in Active Directory zurückgesetzte Kennwörter können auf der Anmeldeseite geändert werden. Wenn ein Benutzer versucht, sich mit einem abgelaufenen Kennwort anzumelden, wird er dazu aufgefordert, sein Kennwort zurückzusetzen. Der Benutzer muss dann das alte Kennwort sowie das neue Kennwort eingeben.

Die Active Directory-Kennwortrichtlinie bestimmt die Anforderungen für das neue Kennwort. Die Anzahl der zulässigen Versuche hängt auch von der Active Directory-Kennwortrichtlinie ab.

Hinweis: Wenn der Omnissa Access Connector im FIPS-Modus ausgeführt wird, gelten zusätzliche Anforderungen für Kennwörter. Informationen zu Ihrer Connector-Version finden Sie unter Omnissa Access Connector und FIPS-Modus.

Die folgenden Einschränkungen gelten für die Option Kennwortänderung zulassen.

• Wenn ein Verzeichnis als „Globaler Katalog“ zu Omnissa Access hinzugefügt wird, ist die Option Kennwortänderung zulassen nicht verfügbar. Sie können das Verzeichnis als „Active Directory über LDAP“ oder „Integrierte Windows-Authentifizierung“ mit Port 389 oder 636 hinzufügen.

• Das Kennwort eines Bind-DN-Benutzers kann nicht in Omnissa Access zurückgesetzt werden, selbst wenn es abläuft oder wenn der Active Directory-Administrator es zurücksetzt.

  Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft.

• Kennwörter von Benutzern, deren Anmeldenamen aus Multibyte-Zeichen (keine ASCII-Zeichen) bestehen, können nicht in Omnissa Access zurückgesetzt werden.

• Das UPN-Format alternativePrefix@alternativeSuffix unterstützt das Zurücksetzen von Kennwörtern auf der Anmeldeseite nicht. Benutzer mit diesem UPN-Format können ihr Kennwort nur ändern, nachdem sie sich bei Intelligent Hub angemeldet haben. Weitere Informationen finden Sie unter Anforderungen und Einschränkungen für das UPN-Format.

Hinweis: Die Option Kennwortänderung zulassen ist für ACC-Verzeichnisse nicht verfügbar.

Voraussetzungen

• Die Domänenfunktionsebene der Active Directory-Domänencontroller muss auf Windows 2008 oder höher eingestellt sein.

• Port 464 muss vom Verzeichnissynchronisierungsdienst zu den Domänencontrollern geöffnet sein.

• Das Active Directory muss eines der folgenden UPN-Formate verwenden:

  • Reguläres UPN-Format: samaccountname@domain
  • Alternatives UPN-Präfix-Format: alternativePrefix@domain
  • Alternatives UPN-Suffix-Format: samaccountname@alternativeSuffix
  • Das folgende UPN-Format: alternativePrefix@alternativeSuffix
    Hinweis: Das UPN-Format alternativePrefix@alternativeSuffix wird ab Omnissa Access Connector 26.05 unterstützt. Informationen zu den Anforderungen und Einschränkungen für dieses Format finden Sie unter Anforderungen und Einschränkungen für das UPN-Format.

• Uhren auf dem Verzeichnissynchronisierungsdienst und den Domänencontrollern müssen synchronisiert werden.

Vorgehensweise

1. Navigieren Sie in der Omnissa Access-Konsole zur Seite Integrationen > Verzeichnisse.

2. Klicken Sie auf das Verzeichnis, das Sie konfigurieren möchten.

3. Wählen Sie die Registerkarte Einstellungen aus.

4. Aktivieren Sie im Abschnitt Kennwortänderung zulassen das Kontrollkästchen Änderung des Kennworts aktivieren.

   

5. Geben Sie das Bind-DN-Kennwort im Abschnitt Details zum Verbindungsbenutzer ein, und klicken Sie auf Speichern.

Anforderungen und Einschränkungen für das UPN-Format alternativePrefix@alternativeSuffix

Das UPN-Format alternativePrefix@alternativeSuffix wird ab Omnissa Access Connector 26.05 unterstützt.

Anforderungen

Diese Funktion ist nur verfügbar mit:

• Omnissa Access Connector 26.05 oder höher
• Verzeichnisse, die einen sicheren Kommunikationsmodus mit Active Directory verwenden. Dazu gehören:
  • IWA-Verzeichnis
  • AD über LDAP-Verzeichnis, das StartTLS für die Kommunikation mit Domänencontrollern verwendet
  • AD über LDAP-Verzeichnis, das LDAPS für die Kommunikation mit Domänencontrollern verwendet

Vorgehensweise zum Aktivieren der Unterstützung für das alternativePrefix@alternativeSuffix format

1. Melden Sie sich bei dem Windows-Server an, auf dem der Omnissa Access Connector ausgeführt wird.
2. Beenden Sie den Verzeichnissynchronisierungsdienst und den Benutzerauthentifizierungsdienst.
3. Bearbeiten Sie die Datei application.properties im Ordner <INSTALL_FOLDER>\Access Connector\Directory Sync Service\conf.
4. Fügen Sie Folgendes am Ende der Datei application.properties ein:
   pwd.change.strategy=jndi
5. Bearbeiten Sie die Datei application.properties im Ordner <INSTALL_FOLDER>\Access Connector\User Auth Service\conf.
6. Fügen Sie Folgendes am Ende der Datei application.properties ein:
   pwd.change.strategy=jndi
7. Starten Sie den Verzeichnissynchronisierungsdienst und den Benutzerauthentifizierungsdienst neu.

Einschränkungen

Das UPN-Format alternativePrefix@alternativeSuffix wird nur für die Kennwortänderung nach der Anmeldung unterstützt. Sie wird für das Zurücksetzen von Kennwörtern nicht unterstützt. Benutzer können ihr Kennwort ändern, nachdem sie sich bei Intelligent Hub angemeldet haben, aber sie können ihr Kennwort nicht über die Anmeldeseite zurücksetzen.