Forcer l'inscription via un script de connexion
La fonctionnalité Forcer l'inscription via un script de connexion, lorsqu'elle est activée, obligera les utilisateurs non inscrits se connectant à leur bureau Windows à compléter l'inscription pour les authentificateurs activés pour eux dans ADSelfService Plus.
Vous pouvez y parvenir en configurant des planificateurs pour forcer les utilisateurs non inscrits à compléter l'inscription. Ces planificateurs analyseront périodiquement votre AD à la recherche d'utilisateurs non inscrits et associeront leurs comptes à un script de connexion. Ce script invitera les utilisateurs à s'inscrire chaque fois qu'ils se connecteront à leurs machines.
Voici comment cela fonctionne :
- Lorsque les utilisateurs se connectent à leurs machines Windows, ADSelfService Plus affichera une alerte demandant aux utilisateurs de s'inscrire pour l'auto-assistance du mot de passe.
- Si nécessaire, vous pouvez empêcher les utilisateurs de fermer l'alerte, de lancer d'autres applications ou de cliquer sur n'importe quelle partie de leur bureau Windows jusqu'à ce qu'ils complètent l'inscription.
- Les utilisateurs doivent cliquer sur le bouton S'inscrire maintenant et s'inscrire avec ADSelfService Plus pour faire disparaître le message contextuel.
- Si l'inscription est obligatoire, les utilisateurs ne retrouveront l'accès à leurs machines qu'après une inscription réussie.
Étapes pour forcer l'inscription via un script de connexion
- Connectez-vous à la console web ADSelfService Plus avec les identifiants administrateur.
- Naviguez vers Configuration > Outils administratifs > Inscription rapide et cliquez sur Forcer l'inscription via un script de connexion.
- Saisissez un Nom du planificateur et une Description.
- Sélectionnez la politique qui s'applique aux utilisateurs pour lesquels vous souhaitez forcer l'inscription.
- Saisissez le nom que vous souhaitez afficher pour la fenêtre, dans le champ Titre de la fenêtre.
- Saisissez le message à afficher aux utilisateurs concernant l'inscription obligatoire, dans le champ Contenu de la fenêtre.
- Saisissez le texte du bouton d'action dans le champ Bouton d'inscription.
- Laissez la case Bouton d'annulation décochée si vous souhaitez forcer les utilisateurs à s'inscrire lorsqu'ils se connectent à leur machine. Si l'annulation est activée, les utilisateurs peuvent fermer le script de connexion et accéder à leur machine sans compléter le processus d'inscription. Cependant, ils seront invités à s'inscrire lorsqu'ils se connecteront à ADSelfService Plus. Si vous souhaitez donner à vos utilisateurs la possibilité de passer l'inscription, activez l'option Bouton d'annulation et personnalisez le texte du bouton d'action en conséquence.
- Planifiez la fréquence à laquelle le script de connexion d'inscription forcée s'applique automatiquement aux utilisateurs Active Directory nouvellement ajoutés
- Click Enregistrer
- Par défaut, le fichier du script de connexion (l'emplacement par défaut est <C:\Program Files\ManageEngine\ADSelfService Plus\bin ADSelfService_Enroll.hta) sera placé dans le dossier SYSVOL lorsque l'inscription forcée est activée.
- ADSelfService Plus cessera d'afficher l'alerte d'inscription forcée lors de la connexion une fois que les utilisateurs auront terminé le processus d'inscription.
- Le compte utilisateur configuré dans les Paramètres de domaine d'ADSelfService Plus doit disposer des permissions de lecture/écriture sur le chemin du script et de la permission de copier le fichier script dans le dossier SYSVOL du contrôleur de domaine. Si les permissions requises ne sont pas accordées ou s'il y a un problème empêchant la copie du fichier script dans le dossier SYSVOL, assurez-vous de copier et coller manuellement le fichier script dans le dossier SYSVOL.
Configuration de l'inscription forcée des utilisateurs avec ADSelfService Plus
ADSelfService Plus vous permet d'imposer l'inscription uniquement à un ensemble particulier d'utilisateurs au lieu de l'imposer à tous les utilisateurs d'une politique d'auto-assistance. Il vous suffit d'ajouter manuellement une entrée dans le fichier ADSelfService_Enroll.hta puis de configurer le script de connexion à une OU particulière via la stratégie de groupe. Cela imposera l'inscription uniquement aux utilisateurs qui se trouvent dans l'OU spécifiée.
Étapes à suivre dans ADSelfService Plus
- Naviguez vers le dossier <ADSelfService Plus_Installation_Dir>\bin (l'emplacement par défaut est <C:\Program Files\ManageEngine\ADSelfService Plus\bin) et localisez le fichier script ADSelfService_Enroll.hta.
- Ouvrez le fichier dans un éditeur de texte et localisez la propriété postData.
- Ajoutez &manualScript=true à la fin du code comme indiqué ci-dessous :
postData= "user=" + objNetwork, UserName + "&domainFlatName=" + objNetwork.UserDomain + "&domainDNSName=" +strdns + "&manualScript=true" - Pour permettre aux utilisateurs de fermer la fenêtre contextuelle de demande d'inscription affichée sur leur écran de connexion, ajoutez &forceEnroll=false à la balise manualScript comme indiqué ci-dessous :
postData = "user=" + objNetwork.UserName + "&domainFlatName=" + strdns + "&manualScript=true&forceEnroll=false".
Enregistrez le fichier et appliquez le script aux utilisateurs via les stratégies de groupe.
Configurez le script de connexion à une OU particulière via la stratégie de groupe
- Ouvrez Server Manager et allez dans Outils > Gestion des stratégies de groupe.
- Développez l'arborescence Domaines, faites un clic droit sur le domaine ou OU souhaité, puis sélectionnez Créer un GPO dans ce domaine et le lier ici.
- La boîte de dialogue Nouveau GPO s'affiche. Saisissez un Nom pour le GPO et cliquez sur OK.
- Trouvez le GPO nouvellement créé sous le domaine ou l'OU que vous avez créé à l'étape précédente, faites un clic droit dessus et sélectionnez Modifier.
- Dans l'Éditeur de gestion des stratégies de groupe qui s'ouvre, allez à Configuration utilisateur > Stratégies > Paramètres Windows > Scripts (Ouverture/Fermeture de session), puis double-cliquez sur Ouverture de session affiché dans le volet droit.
- Dans la fenêtre Propriétés d'ouverture de session qui s'ouvre, cliquez sur Afficher les fichiers. Un dossier dont le nom se termine par User\Scripts\Logon\ s'affiche.
- Copiez votre script de connexion, dans notre cas, le fichier ADSelfService_Enroll.hta depuis <Répertoire d'installation>\bin (l'emplacement par défaut est <C:\Program Files\ManageEngine\ADSelfService Plus\bin), et collez-le ici.
- Cliquez sur Ajouter dans la fenêtre Propriétés d'ouverture de session.
- Cliquez sur Parcourir pour ouvrir le répertoire du script de connexion, sélectionnez votre fichier script de connexion et cliquez sur OK.
- Assurez-vous que le fichier de script de connexion sélectionné est affiché dans la fenêtre Propriétés de connexion. Cliquez sur OK.
Désormais, l’enrôlement sera obligatoire lors de la connexion pour les utilisateurs appartenant à l’OU souhaitée.
Étapes à suivre si vous utilisez déjà un script de connexion
Le force enrollment logon script fourni avec ADSelfService Plus est compatible avec tout type de script de connexion que vous pourriez déjà utiliser dans votre environnement Windows.
Si vous utilisez déjà un script de connexion, suivez les étapes ci-dessous :
- If the logon script is a batch file, add the following line at the end of your logon script:
path = "<ScriptPath>"
start /d %path% ADSelfService_Enroll.hta - Si le script de connexion est un script VB, ajoutez les lignes suivantes à la fin de votre script de connexion : Set objShell = WScript.CreateObject ("WScript.Shell") path = "<ScriptPath>" objShell.Run(path+"\"+"ADSelfService_Enroll.hta") Set objShell = nothing
Voici une vidéo de démonstration qui vous guide pas à pas dans la configuration de l’enrôlement forcé.