Azure-AD Self-Service Passwort Reset

Selbst ist der User

von Florian Frommherz

Mobilität führt auch dazu, dass Mitarbeiter ihre Passwörter auch von außerhalb des Unternehmens ändern müssen. Das funktioniert über VPN mit einer Verbindung zum internen Netzwerk oder über Webdienste wie Outlook Web App, die die Passwortänderung webbasiert anbieten. Sicherer und als Self-Service will Microsoft die Funktion über das Azure-AD aus der Cloud anbieten – mit sofortiger Änderung im Unternehmens-AD.

Aus IT-Administrator 02/2018

Firmen benötigen zunehmend eine flexible IT, die sich schnell an die aktuellen Anforderungen anpassen lässt. Der Königsweg dorthin ist die Hybrid Cloud, bei ... (mehr)

Die Anforderung ist eigentlich recht einfach und jedem Unternehmen bekannt: Wie können Kollegen ihr Passwort zurücksetzen, wenn sie ihre Anmeldedaten vergessen haben? Und wie läuft dieser Prozess, wenn die Kollegen nicht gerade im Büro sind, sondern unterwegs, wo kein Zugriff aufs Firmennetzwerk existiert? Eine einfache Antworte wäre "Helpdesk", was aber gerade in großen Unternehmen zu einem Kostenfaktor werden kann. Außerdem löst der Helpdesk nicht das Problem, dass sich der Benutzer von unterwegs an seinem Notebook anmelden will und das Passwort nicht weiß. Denn selbst bei erfolgreicher Auseinandersetzung mit dem Helpdesk und dem Zurücksetzen muss das Notebook ja immer noch erst mit dem Windows-AD Kontakt aufnehmen, um das neue Passwort zu validieren.

Sichere Passwort-Selbstversorgung

Diesem Kernproblem soll sich Azure-AD Self-Service Password Reset (SSPR) als Komponente von Azure-AD aus der Cloud annehmen. Diese Lösung aus der Cloud ist clever: Durch die Integration in Windows 10 und die Verbindung der Computer in Azure-AD lässt sich der Rechner bei einem Passwortwechsel entsperren – auch auf Reisen, ohne Verbindung ins Windows-AD.

SSPR ist zunächst eine reine Cloud-Komponente, die als Dienst für jedermann erreichbar ist. Haben Azure-AD-Admins die Nutzung von SSPR für ihre Endanwender freigegeben, dürfen sich Benutzer für den Dienst registrieren. Dies umfasst eine Selbstanmeldung der Benutzer am Passwortportal mit ihren Kontaktdaten und den gewünschten Verifikationsmethoden – denn nicht jeder darf Passwörter zurücksetzen. Nur Benutzer, die sich via Multi-Factor-Authentication (MFA) identifizieren, gelangen zum Zurücksetzschritt.

Die Verifikationsmethoden sind bereits bekannt aus Azure-MFA – das System kann eine SMS zu einer hinterlegten Smartphone-Nummer schicken oder einen Anruf tätigen, der mit einem Tastendruck bestätigt werden muss. Der

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.