L'un des aspects vraiment agaçants des mots de passe, c'est qu'il faut s'en souvenir. Si vous ne vous souvenez plus de votre mot de passe chez un fournisseur SaaS, c'est assez simple : il suffit de cliquer sur le lien « Mot de passe oublié » et de suivre la procédure de récupération. Mais comme c'est souvent le cas, le monde de l'entreprise est plus compliqué. Si vous disposez d’un environnement hybride dans lequel vous utilisez AD FS (Active Directory Federation Services) pour fournir une authentification unique vers Azure AD à votre organisation, il existe une fonctionnalité d’AD FS qui résout l’un des cas de figure les plus courants : l’utilisateur connaît son mot de passe et doit le modifier avant de pouvoir effectuer toute autre opération.
Lecture associée
Connaître un mot de passe, changer de mot de passe
Quand cela se produit-il ? En général, cela correspond au scénario d'« intégration », dans lequel un nouveau collaborateur reçoit ses identifiants d'entreprise ainsi qu'un mot de passe temporaire qu'il doit modifier lors de sa première connexion. Tant qu'il n'aura pas modifié son mot de passe, il ne pourra accéder à aucune ressource de l'entreprise.
C'est un phénomène fréquent dans le commerce de détail, où le taux de rotation du personnel est élevé et où l'on observe souvent des pics saisonniers d'embauche. Pour le salarié travaillant sur un poste de travail rattaché au domaine au sein du réseau d'entreprise, cela ne pose aucun problème, car le processus de mise à jour du mot de passe est intégré au système d'exploitation client Windows. Mais ce scénario de poste de travail rattaché au domaine ne s'applique souvent pas : les employés doivent partager un terminal de type kiosque situé dans la réserve pour mettre à jour leur mot de passe ou consulter les ressources de l'entreprise, voire ne disposent d'aucun poste de travail.
C'est là que les services en ligne prennent tout leur sens. Un collaborateur n'a pas besoin d'un ordinateur rattaché à un domaine ; grâce à une architecture hybride bien conçue, combinant à la fois des ressources traditionnelles rattachées à un domaine et des ressources Web s'appuyant sur Azure AD, ces collaborateurs mobiles peuvent modifier leur mot de passe et accéder aux sites des ressources humaines et des avantages sociaux depuis leurs propres appareils mobiles.
Changement de mot de passe ou réinitialisation du mot de passe
Mais il est important de distinguer le changement de mot de passe de la réinitialisation de mot de passe. La réinitialisation de mot de passe permet à l’utilisateur de changer son mot de passe lorsqu’il ne le connaît plus. Comment cela fonctionne-t-il ? L’utilisateur doit fournir des informations complémentaires (numéro de téléphone portable, adresse e-mail secondaire, questions de sécurité) pour prouver son identité. Mais avant de pouvoir suivre cette procédure d’enregistrement, il doit avoir prouvé son identité au moins une fois en se connectant avec son identifiant et son mot de passe. Le talon d'Achille de la réinitialisation de mot de passe réside dans le fait que l'utilisateur doit être proactif : s'il ne s'est pas enregistré au préalable, le processus de réinitialisation ne fonctionnera pas. Et il ne peut pas s'enregistrer s'il ne dispose que d'un mot de passe temporaire.
Donc : le nouvel employé doit changer son mot de passe temporaire. Il n'a pas accès à un poste de travail relié à un domaine. Et il ne peut pas utiliser la réinitialisation du mot de passe parce qu'il ne peut pas encore s'enregistrer. Comment peut-il mettre à jour son mot de passe et commencer à travailler ?
AD FS 3.0 permet à l'utilisateur de modifier son mot de passe lorsqu'il fournit son mot de passe existant. Pour ce faire, ouvrez la console de gestion AD FS, développez Service et sélectionnez Endpoints. Dans le volet central, vous verrez une longue liste de points de terminaison. Faites défiler la liste jusqu'à la section Other et sélectionnez /adfs/portal/updatepassword/. Cliquez dessus avec le bouton droit de la souris et choisissez d'activer (c'est-à-dire pour les utilisateurs de l'intranet). Cela permettra aux utilisateurs du réseau d'entreprise d'utiliser la connexion AD FS basée sur des formulaires pour modifier leur mot de passe. Je ne pense pas que cela soit particulièrement utile, car la grande majorité des utilisateurs du réseau d'entreprise qui ont besoin de changer leur mot de passe seront probablement sur des stations de travail reliées à un domaine. (N'oubliez pas que la plupart des appareils mobiles se trouvent sur un réseau sans fil public, même à l'intérieur de l'entreprise). Toutefois, il n'est pas inutile d'activer cette fonction interne.
Cliquez une seconde fois avec le bouton droit de la souris sur updatedpassword et sélectionnez enable on proxy (c'est-à-dire pour les utilisateurs externes).
Cela permettra aux utilisateurs externes - y compris les utilisateurs d'appareils mobiles sur le réseau public de l'entreprise - de modifier leur mot de passe sur la page de connexion AD FS basée sur des formulaires et hébergée par Web Application Proxy (ci-dessous) :
Notez que vous devez redémarrer le service AD FS pour que cela prenne effet. Si cela ne fonctionne pas, essayez de redémarrer le service à nouveau ; j'ai dû le faire deux fois.
La possibilité de mettre à jour son mot de passe à partir d'une page web est une fonctionnalité intéressante et facile à mettre en œuvre. Voici le billet original de Sam Devasahayam (également connu sous le nom de @MrADFS) sur le sujet.
