Una de las cosas más molestas de las contraseñas es que hay que recordarlas. Si no recuerdas tu contraseña de un proveedor de SaaS, es bastante sencillo: haces clic en el enlace «Olvidé mi contraseña» y sigues el proceso de recuperación. Sin embargo, como suele ocurrir, el mundo empresarial es más complicado. Si dispones de un entorno híbrido en el que utilizas AD FS (Active Directory Federation Services) para proporcionar inicio de sesión único en Azure AD a tu organización, existe una función de AD FS que resuelve uno de los casos más habituales: el usuario conoce su contraseña y debe cambiarla antes de poder hacer nada más.
Lecturas relacionadas
Conocer una contraseña, cambiar una contraseña
¿Cuándo ocurriría esto? Normalmente, se trata del proceso de «incorporación», en el que al nuevo empleado se le entregan sus credenciales corporativas junto con una contraseña provisional que debe cambiar la primera vez que inicie sesión. Hasta que no cambie su contraseña, no podrá acceder a ningún recurso corporativo.
Esto es algo habitual en el sector minorista, donde la rotación de personal es elevada y a menudo se producen picos estacionales de contratación. Para el trabajador que utiliza una estación de trabajo integrada en el dominio dentro de la red corporativa, no supone ningún problema, ya que el proceso de actualización de la contraseña está integrado en el sistema operativo cliente de Windows. Pero este escenario de estación de trabajo unida al dominio no suele darse; los empleados deben compartir un equipo tipo quiosco en el almacén para actualizar su contraseña o consultar los recursos de la empresa, o puede que ni siquiera haya ninguna estación de trabajo.
Aquí es donde los servicios basados en la web realmente destacan. Un empleado no necesita un equipo integrado en un dominio; con una arquitectura híbrida bien diseñada que cuente tanto con recursos tradicionales integrados en un dominio como con recursos web basados en Azure AD, estos empleados móviles pueden cambiar su contraseña y acceder a los sitios web de RR. HH. y prestaciones sociales utilizando sus propios dispositivos móviles.
Cambio de contraseña frente a restablecimiento de contraseña
Pero es importante distinguir entre el cambio de contraseña y el restablecimiento de contraseña. El restablecimiento de contraseña permite al usuario cambiar su contraseña cuando no la conoce. ¿Cómo funciona? Requiere que el usuario introduzca información adicional (teléfono móvil, correo electrónico alternativo, preguntas de seguridad) para demostrar su identidad. Pero antes de poder llevar a cabo este proceso de registro, debe haber demostrado su identidad con éxito al menos una vez iniciando sesión con su nombre de usuario y contraseña. El talón de Aquiles del restablecimiento de contraseña es que el usuario debe ser proactivo: si no se ha registrado con antelación, el proceso de restablecimiento de contraseña no funcionará. Y no puede registrarse si solo dispone de una contraseña temporal.
Así pues: el nuevo empleado necesita cambiar su contraseña temporal. No tiene acceso a un puesto de trabajo conectado al dominio. Y no puede utilizar el restablecimiento de contraseña porque aún no puede registrarse. ¿Cómo puede actualizar su contraseña y ponerse en marcha?
AD FS 3.0 tiene la capacidad de permitir al usuario cambiar su contraseña cuando proporciona su contraseña existente. Para habilitarlo, abra la consola de administración de AD FS, expanda Servicio y seleccione Puntos finales. En el panel central, verá una larga lista de puntos finales. Desplácese hacia abajo hasta la sección Otros y seleccione /adfs/portal/updatepassword/. Haga clic con el botón derecho del ratón y seleccione Habilitar (es decir, para usuarios de la intranet). Esto permitirá a los usuarios de la red corporativa utilizar el inicio de sesión basado en formularios de AD FS para cambiar su contraseña. No creo que esto sea especialmente útil porque la gran mayoría de los usuarios de la red corporativa que necesitan cambiar su contraseña probablemente estarán en estaciones de trabajo unidas al dominio. (Recuerda que la mayoría de los dispositivos móviles estarán en una red inalámbrica pública, incluso dentro de la empresa). Sin embargo, no está de más tener habilitada esta función interna.
Haga clic con el botón derecho en updatedpassword por segunda vez y seleccione enable on proxy (es decir, para usuarios externos).
Esto permitirá a los usuarios externos (incluidos los usuarios de dispositivos móviles en la red pública de la empresa) cambiar su contraseña en la página de inicio de sesión basada en formularios de AD FS alojada en proxy de aplicaciones web externas (más abajo):
Tenga en cuenta que debe reiniciar el servicio AD FS para que esto surta efecto. Si no funciona, intente reiniciar el servicio de nuevo; Tuve que hacerlo dos veces.
La posibilidad de actualizar su contraseña desde una página web es una gran característica, y es tan fácil de implementar Aquí está el post original de Sam Devasahayam (también conocido como @MrADFS) sobre el tema.
