Uma das coisas realmente irritantes em relação às palavras-passe é que é preciso lembrá-las. Se não se lembrar da sua palavra-passe num fornecedor de SaaS, é bastante simples: basta clicar na ligação «Esqueci-me da palavra-passe» e seguir o processo de recuperação da palavra-passe. No entanto, como costuma acontecer, o mundo empresarial é mais complicado. Se tiver um ambiente híbrido em que utiliza o AD FS (Active Directory Federation Services) para fornecer o início de sessão único no Azure AD à sua organização, existe uma funcionalidade do AD FS que resolve um dos cenários mais comuns: o utilizador sabe a sua palavra-passe e tem de a alterar antes de poder fazer mais alguma coisa.
Leitura relacionada
Conhecer uma palavra-passe, alterar uma palavra-passe
Quando é que isto aconteceria? Normalmente, trata-se do cenário de «integração», em que um novo colaborador recebe as suas novas credenciais da empresa, juntamente com uma palavra-passe temporária que tem de alterar na primeira vez que iniciar sessão. Até alterar a palavra-passe, não poderá aceder a nenhum recurso da empresa.
Isto é uma situação frequente no retalho, onde a rotatividade de pessoal é elevada e, muitas vezes, há picos sazonais de contratação. Para o trabalhador que utiliza uma estação de trabalho integrada no domínio na rede da empresa, não é grande problema, uma vez que o processo de atualização da palavra-passe está integrado no sistema operativo cliente do Windows. No entanto, este cenário de estação de trabalho ligada ao domínio nem sempre se aplica; os colaboradores têm de partilhar um equipamento do tipo quiosque na arrecadação para atualizar a sua palavra-passe ou aceder aos recursos da empresa, ou pode nem sequer existir qualquer estação de trabalho.
É aqui que os serviços baseados na Web se destacam verdadeiramente. Um colaborador não precisa de um computador integrado num domínio; com uma arquitetura híbrida devidamente concebida, que inclua tanto recursos tradicionais integrados num domínio como recursos Web suportados pelo Azure AD, estes colaboradores móveis podem alterar a sua palavra-passe e aceder a sites de RH e de benefícios utilizando os seus próprios dispositivos móveis.
Alteração da palavra-passe vs. reposição da palavra-passe
Mas é importante distinguir a alteração da palavra-passe da redefinição da palavra-passe. A redefinição da palavra-passe permite que o utilizador altere a sua palavra-passe quando não a sabe. Como é que isso funciona? Exige que o utilizador introduza informações adicionais (telemóvel, e-mail alternativo, perguntas de segurança) para comprovar a sua identidade. Mas, antes de poder passar por este processo de registo, tem de ter comprovado com sucesso a sua identidade pelo menos uma vez, iniciando sessão com o seu ID de utilizador e palavra-passe. O ponto fraco da redefinição de palavra-passe é que o utilizador tem de ser proativo: se não se tiver registado antecipadamente, o processo de redefinição de palavra-passe não funcionará. E não pode registar-se se tiver apenas uma palavra-passe temporária.
Assim: o novo funcionário precisa de alterar a sua palavra-passe temporária. Não tem acesso a uma estação de trabalho ligada ao domínio. E não pode utilizar a reposição da palavra-passe porque ainda não se pode registar. Como pode actualizar a sua palavra-passe e começar a trabalhar?
O AD FS 3.0 tem a capacidade de permitir que o utilizador altere a sua palavra-passe quando fornece a palavra-passe existente. Para activar esta funcionalidade, abra a consola de gestão do AD FS, expanda Serviço e seleccione Pontos finais. No painel central, verá uma longa lista de pontos finais. Desloque-se para baixo até à secção Outros e seleccione /adfs/portal/updatepassword/. Clique com o botão direito do rato e escolha activar (ou seja, para utilizadores da intranet). Isto permitirá que os utilizadores da rede empresarial utilizem o início de sessão baseado em formulários do AD FS para alterar a sua palavra-passe. Não creio que isto seja especialmente útil porque a grande maioria dos utilizadores da rede empresarial que precisam de alterar a palavra-passe estarão provavelmente em estações de trabalho ligadas ao domínio. (Lembre-se de que a maioria dos dispositivos móveis estará numa rede sem fios pública, mesmo dentro da empresa). No entanto, não faz mal nenhum ter esta capacidade interna activada.
Clique com o botão direito do rato na palavra-passe actualizada uma segunda vez e seleccione activar no proxy (ou seja, para utilizadores externos).
Isto permitirá que os utilizadores externos - que incluem utilizadores de dispositivos móveis na rede pública da empresa - alterem a sua palavra-passe na página de início de sessão externa baseada em formulários do AD FS alojado no Web Application Proxy (abaixo):
Tenha em atenção que tem de reiniciar o serviço AD FS para que isto tenha efeito. Se não funcionar, tente reiniciar o serviço novamente; tive de o fazer duas vezes.
A possibilidade de actualizar a palavra-passe a partir de uma página Web é uma excelente funcionalidade, e é muito fácil de implementar Aqui está o post original de Sam Devasahayam (também conhecido como @MrADFS) sobre o tema.
