Una delle cose davvero fastidiose delle password è che bisogna ricordarle. Se non riesci a ricordare la tua password presso un fornitore SaaS, la procedura è piuttosto semplice: clicchi sul link “password dimenticata” e segui la procedura di recupero della password. Come spesso accade, però, il mondo aziendale è più complicato. Se disponi di un ambiente ibrido in cui utilizzi AD FS (Active Directory Federation Services) per fornire l’accesso unico (single sign-on) ad Azure AD per la tua organizzazione, esiste una funzionalità di AD FS che risolve uno degli scenari più comuni: l’utente conosce la propria password e deve cambiarla prima di poter eseguire qualsiasi altra operazione.
Lettura correlata
Conoscere una password, cambiare una password
Quando si verificherebbe questa situazione? Di solito, si tratta dello scenario di “onboarding”, in cui a un nuovo assunto vengono fornite le credenziali aziendali con una password temporanea che dovrà modificare al primo accesso. Finché non avrà modificato la password, non potrà accedere ad alcuna risorsa aziendale.
Si tratta di una situazione frequente nel settore della vendita al dettaglio, dove il turnover del personale è elevato e spesso si verificano picchi stagionali di assunzioni. Per il lavoratore che utilizza una postazione di lavoro collegata al dominio sulla rete aziendale, non è un problema, poiché il processo di aggiornamento della password è integrato nel sistema operativo client Windows. Ma spesso questo scenario con postazioni di lavoro collegate al dominio non si verifica; i dipendenti devono condividere un terminale di tipo chiosco nel magazzino per aggiornare la propria password o accedere alle risorse aziendali, oppure potrebbe non esserci alcuna postazione di lavoro a disposizione.
È proprio qui che i servizi basati sul web danno il meglio di sé. Un dipendente non ha bisogno di un computer collegato al dominio; grazie a un’architettura ibrida progettata correttamente, che comprende sia risorse tradizionali collegate al dominio sia risorse web basate su Azure AD, questi dipendenti in mobilità possono modificare la propria password e accedere ai siti delle risorse umane e dei benefici utilizzando i propri dispositivi mobili.
Modifica della password vs. reset della password
Ma è importante distinguere la modifica della password dal ripristino della password. Il ripristino della password consente all’utente di cambiare la propria password quando non la conosce. Come funziona? Richiede che l’utente inserisca informazioni supplementari (numero di cellulare, indirizzo e-mail alternativo, domande di sicurezza) per dimostrare la propria identità. Tuttavia, prima di poter completare questa procedura di registrazione, deve aver già dimostrato con successo la propria identità almeno una volta effettuando l’accesso con il proprio ID utente e la propria password. Il tallone d’Achille del ripristino della password è che l’utente deve essere proattivo: se non si è registrato in anticipo, la procedura di ripristino non funzionerà. E non può registrarsi se dispone solo di una password temporanea.
Quindi: il nuovo dipendente deve cambiare la sua password temporanea. Non ha accesso a una workstation collegata al dominio. E non possono usare la reimpostazione della password perché non possono ancora registrarsi. Come possono aggiornare la password e iniziare a lavorare?
AD FS 3.0 ha la possibilità di consentire all'utente di cambiare la propria password quando fornisce quella esistente. Per attivarla, aprire la console di gestione di AD FS, espandere Servizio e selezionare Endpoint. Nel riquadro centrale viene visualizzato un lungo elenco di endpoint. Scorrere fino alla sezione Altro e selezionare /adfs/portal/updatepassword/. Fare clic con il pulsante destro del mouse su di esso e scegliere di abilitare (cioè per gli utenti intranet). In questo modo gli utenti della rete aziendale potranno utilizzare il login basato su moduli di AD FS per cambiare la password. Non credo che questo sia particolarmente utile, perché la stragrande maggioranza degli utenti della rete aziendale che devono cambiare la password probabilmente si trovano su workstation collegate al dominio. (Ricordate che la maggior parte dei dispositivi mobili si trova su una rete wireless pubblica, anche all'interno dell'azienda). Tuttavia, non è certo un male avere questa funzionalità interna abilitata.
Fate un secondo clic con il tasto destro del mouse su updatedpassword e selezionate enable on proxy (cioè per gli utenti esterni).
In questo modo gli utenti esterni, compresi gli utenti di dispositivi mobili sulla rete pubblica dell'azienda, potranno cambiare la password nella pagina di login basata su moduli AD FS ospitata da Web Application Proxy (sotto):
Si noti che è necessario riavviare il servizio AD FS perché questo abbia effetto. Se non funziona, provare a riavviare il servizio; io ho dovuto farlo due volte.
La possibilità di aggiornare la password da una pagina web è un'ottima funzione ed è molto facile da implementare Ecco il post originale di Sam Devasahayam (noto anche come @MrADFS) sull'argomento.
