Autoriser les utilisateurs à modifier les mots de passe d'Active Directory à partir d'Intelligent Hub

En configurant les paramètres dans Omnissa Access, vous pouvez permettre aux utilisateurs de modifier leurs mots de passe Active Directory à partir du portail ou de l'application Omnissa Workspace ONE® Intelligent Hub à tout moment. Les utilisateurs peuvent également réinitialiser leurs mots de passe Active Directory sur la page de connexion si le mot de passe a expiré ou si l'administrateur Active Directory a réinitialisé le mot de passe, ce qui force l'utilisateur à modifier le mot de passe lors de la prochaine connexion.

Définissez cette option par annuaire, en sélectionnant l'option Activer la modification du mot de passe dans l'onglet Paramètres de l'annuaire.

Les utilisateurs peuvent modifier leurs mots de passe lorsqu'ils sont connectés à Intelligent Hub à partir d'un navigateur en cliquant sur leur nom dans le coin supérieur droit, en sélectionnant Compte dans le menu déroulant et en cliquant sur le lien Modifier le mot de passe. Dans l'application Intelligent Hub, les utilisateurs peuvent modifier leurs mots de passe en cliquant sur l'icône de menu à trois barres et en sélectionnant Mot de passe.

Les mots de passe expirés ou les mots de passe réinitialisés par l'administrateur dans Active Directory peuvent être modifiés sur la page de connexion. Lorsqu'un utilisateur tente de se connecter avec un mot de passe expiré, il est invité à le réinitialiser. L'utilisateur doit entrer l'ancien mot de passe ainsi que le nouveau mot de passe.

La stratégie de mot de passe Active Directory détermine les conditions requises pour le nouveau mot de passe. Le nombre de tentatives autorisées dépend également de la stratégie de mot de passe d'Active Directory.

Remarque : si Omnissa Access Connector s'exécute en mode FIPS, des conditions requises supplémentaires s'appliquent aux mots de passe. Reportez-vous à la section Omnissa Access Connector et mode FIPS correspondant à la version de votre connecteur.

Les limitations suivantes s'appliquent à l'option Activer la modification du mot de passe.

• Lorsque vous ajoutez un annuaire à Omnissa Access en tant que catalogue global, l'option Activer la modification du mot de passe n'est pas disponible. Vous pouvez ajouter l'annuaire en tant qu'annuaire Active Directory via LDAP ou Authentification Windows intégrée, à l'aide des ports 389 ou 636.

• Le mot de passe d'un utilisateur de nom unique de liaison ne peut pas être réinitialisé à partir d'Omnissa Access, même s'il expire ou si l'administrateur Active Directory le réinitialise.

  Il est recommandé d'utiliser un compte d'utilisateur à nom unique de liaison avec un mot de passe sans date d'expiration.

• Les mots de passe d'utilisateurs dont les noms de connexion comportent des caractères multioctets (caractères non-ASCII) ne peuvent pas être réinitialisés à partir d'Omnissa Access.

• Le format UPN alternativePrefix@alternativeSuffix ne prend pas en charge la réinitialisation du mot de passe à partir de la page de connexion. Les utilisateurs disposant de ce format UPN ne peuvent que modifier leur mot de passe après s'être connectés à Intelligent Hub. Reportez-vous à la section Conditions requises et limitations pour le format UPN.

Remarque : l'option Activer la modification du mot de passe n'est pas disponible pour les annuaires ACC.

Conditions préalables

• Le niveau fonctionnel du domaine des contrôleurs de domaine Active Directory doit être défini sur Windows 2008 ou version ultérieure.

• Le port 464 doit être ouvert entre le service de synchronisation d'annuaire et les contrôleurs de domaine.

• Active Directory doit utiliser l'un des formats UPN suivants :

  • Format UPN standard : samaccountname@domain
  • Autre format de préfixe UPN : alternativePrefix@domain
  • Autre format de suffixe UPN : samaccountname@alternativeSuffix
  • Format UPN suivant : alternativePrefix@alternativeSuffix
    Remarque : le format UPN alternativePrefix@alternativeSuffix est pris en charge à partir d'Omnissa Access Connector 26.05. Pour connaître les conditions requises et limitations de ce format, reportez-vous à la section Conditions requises et limitations pour le format UPN.

• Les horloges sur l'hôte du service de synchronisation d'annuaire et les contrôleurs de domaine doivent être synchronisées.

Procédure

1. Dans la console Omnissa Access, sélectionnez Intégrations > Annuaires.

2. Cliquez sur l'annuaire à configurer.

3. Sélectionnez l'onglet Paramètres.

4. Dans la section Autoriser la modification du mot de passe, cochez la case Activer la modification du mot de passe.

   

5. Entrez le mot de passe du nom unique de liaison dans la section Détails de l'utilisateur Bind et cliquez sur Enregistrer.

Conditions requises et limitations pour le format UPN alternativePrefix@alternativeSuffix

Le format UPN alternativePrefix@alternativeSuffix est pris en charge à partir d'Omnissa Access Connector 26.05.

Configuration requise

Cette fonctionnalité n'est disponible qu'avec les éléments suivants :

• Omnissa Access Connector 26.05 ou version ultérieure
• Les annuaires qui utilisent un mode de communication sécurisé avec Active Directory. Celles-ci incluent :
  • Annuaire IWA
  • Annuaire AD sur LDAP qui utilise StartTLS pour communiquer avec les contrôleurs de domaine
  • Annuaire AD sur LDAP qui utilise LDAPS pour communiquer avec les contrôleurs de domaine

Activation de la prise en charge du format alternativePrefix@alternativeSuffix

1. Connectez-vous à l'instance de Windows Server sur laquelle Omnissa Access Connector s'exécute.
2. Arrêtez le service de synchronisation d'annuaire et le service d'authentification utilisateur.
3. Modifiez le fichier application.properties dans le dossier <INSTALL_FOLDER>\Access Connector\Directory Sync Service\conf.
4. Ajoutez l'élément suivant à la fin du fichier application.properties :
   pwd.change.strategy=jndi
5. Modifiez le fichier application.properties dans le dossier <INSTALL_FOLDER>\Access Connector\User Auth Service\conf.
6. Ajoutez l'élément suivant à la fin du fichier application.properties :
   pwd.change.strategy=jndi
7. Redémarrez le service de synchronisation d'annuaire et le service d'authentification utilisateur.

Limitations

Le format UPN alternativePrefix@alternativeSuffix n'est pris en charge que pour la modification du mot de passe après la connexion. Il n'est pas pris en charge pour la réinitialisation du mot de passe. Les utilisateurs pourront modifier leur mot de passe après s'être connectés à Intelligent Hub, mais ne pourront pas le réinitialiser à partir de la page de connexion.