Mise à jour des informations d'identification mises en cache sous Windows

Lorsque les utilisateurs dans un environnement AD se connectent à leurs machines Windows depuis le réseau organisationnel, leurs informations d'identification sont enregistrées dans le cache local. Cela leur permet de se connecter en utilisant leur mot de passe Windows même lorsqu'ils sont hors du réseau d'entreprise, l'authentification se faisant alors contre le cache local plutôt que contre AD. Cependant, si un utilisateur oublie son mot de passe ou si son mot de passe mis en cache expire hors réseau, il est bloqué — il ne peut pas se connecter, et même une réinitialisation de mot de passe initiée à distance par un administrateur ne sera pas synchronisée avec le cache local tant que la machine ne se reconnecte pas au réseau.

ADSelfService Plus résout ce problème avec la réinitialisation des informations d'identification mises en cache. Lorsqu'elle est activée, un lien Réinitialiser le mot de passe/Débloquer le compte est ajouté directement à l'écran de connexion Windows. Les utilisateurs cliquent sur ce lien, vérifient leur identité via une méthode MFA obligatoire — telle que des jetons matériels ou logiciels, une authentification biométrique ou une authentification push — puis réinitialisent leur mot de passe de domaine AD. Le cache local est mis à jour automatiquement dans le cadre du processus.

Les informations d'identification mises en cache peuvent être mises à jour de deux manières :

• Via un client VPN — recommandé lorsque l'infrastructure VPN est disponible.
• Sans client VPN — pour les organisations sans fournisseur VPN pris en charge.

Mise à jour des informations d'identification mises en cache via un client VPN

Comment ça fonctionne

Lorsque Mettre à jour les informations d'identification mises en cache via un client VPN est activé :

1. L'identité de l'utilisateur est vérifiée via MFA et la demande de réinitialisation de mot de passe est envoyée à ADSelfService Plus, qui met à jour le nouveau mot de passe dans AD.
2. Le nouveau mot de passe est envoyé à l'agent de connexion Windows sur la machine de l'utilisateur.
3. L'agent de connexion établit automatiquement une connexion sécurisée avec AD via les commandes CLI VPN configurées et initie une demande de mise à jour des informations d'identification mises en cache localement.
4. La demande est approuvée par AD et le cache local est mis à jour automatiquement.

L'agent de connexion utilise une interface en ligne de commande (CLI) pour initier la connexion VPN. Tout fournisseur VPN prenant en charge une CLI avec les privilèges du compte LocalSystem peut être utilisé.

Clients VPN pris en charge

• Fortinet
• Cisco IPSec
• Cisco AnyConnect
• Windows Native VPN
• SonicWall NetExtender
• Check Point EndPoint Connect
• SonicWall Global VPN
• OpenVPN
• VPN personnalisé

Prérequis

• Un client VPN prenant en charge une CLI avec les privilèges du compte LocalSystem doit être installé sur chaque machine utilisateur.
• A service account may be required if:
  • Votre organisation a rendu obligatoire la MFA pour les connexions VPN des utilisateurs finaux, ou
  • Un compte partagé est utilisé pour toutes les connexions VPN initiées par les utilisateurs de votre organisation.

Configuration de la mise à jour des informations d'identification mises en cache via un VPN

1. Connectez-vous au portail d'administration ADSelfService Plus et naviguez vers Active Directory > Configuration > Outils administratifs > GINA/Mac/Linux (Ctrl+Alt+Del).
2. Cliquez sur Mise à jour des informations d'identification mises en cache Windows.
3. Activez l'option Activer la mise à jour des informations d'identification mises en cache.
4. Sélectionnez Mettre à jour les informations d'identification mises en cache via un client VPN.
5. Dans la liste déroulante Fournisseur VPN, sélectionnez votre fournisseur VPN.
6. Saisissez le Nom d'hôte/IP VPN et le Numéro de port VPN.
7. Dans le champ Chemin du client VPN, saisissez le chemin complet vers l'exécutable du client VPN sur les machines des utilisateurs.
8. The default client paths for supported VPN providers are:
   • Cisco AnyConnect : C:\Program Files (x86)\Cisco\Cisco AnyConnect\vpncli.exe
   • SonicWall Global VPN : C:\Program Files (x86)\SonicWall\SonicWall Global VPN\swgvc.exe
   • Fortinet : Le fichier FortiSSLVPNClient.exe doit être téléchargé depuis le portail de support Fortinet et installé sur les machines des utilisateurs. Connectez-vous au portail et naviguez vers Firmware Downloads > FortiClient > select_your_VPN_version > FortinetClientTools.zip, puis téléchargez et extrayez FortiSSLVPNClient.exe depuis le dossier SSLVPNcmdline. Exemple de chemin : C:\FortiClient\FortiSSLVPN\x86\FortiSSLVPNClient.exe
   • Check Point VPN : C:\Program Files (x86)\CheckPoint\Endpoint Connect\trac.exe
   • SonicWall NetExtender : C:\Program Files (x86)\Sonicwall\SSL-VPN\NetExtender\necli.exe
   • OpenVPN : C:\Program Files (x86)\Sophos\Sophos ssl client\bin\openvpn.exe
   • Cisco IPSec : C:\Program Files (x86)\Cisco\Cisco IPSec\vpnclient.exe
9. Le chemin du client VPN doit être cohérent sur toutes les machines des utilisateurs. Pour les fournisseurs VPN personnalisés, contactez l'équipe de support de votre fournisseur VPN pour identifier le nom du client CLI et son emplacement.
10. Si vous utilisez un compte de service pour les connexions VPN, sélectionnez Activer l'accès VPN via un compte de service et saisissez les identifiants du compte de service.
11. Cliquez sur Enregistrer.

Paramètres spécifiques au fournisseur VPN

Fortinet

• Protocole : L2TP (Layer 2 Tunneling Protocol). Les autres protocoles ne sont pas pris en charge actuellement.
• Macros prises en charge : %user_name%, %password%, %servername%, %portno%

Cisco AnyConnect

• Fonctionnalités non prises en charge : La bannière Accept Disclaimer n'est pas prise en charge.
• Nom du groupe VPN : Si le CLI demande un Nom de groupe VPN sous forme de numéro dans une liste (par exemple, 1 - VPN admins, 2 - VPN users), saisissez le numéro correspondant dans le champ Nom du groupe VPN dans ADSelfService Plus.

Windows Native VPN

• Protocole pris en charge : L2TP (Layer 2 Tunneling Protocol). Les autres protocoles ne sont pas pris en charge actuellement.
• Clé pré-partagée : Saisissez la clé pré-partagée utilisée pour la connexion L2TP.

OpenVPN

• Commande de connexion exemple :--config "<Full_path_to_the_.ovpn_file>" --auth-user-pass %tempFile%
• Remplacez <Full_path_to_the_.ovpn_file> par le chemin complet vers le fichier .ovpn sur la machine. Les identifiants de l'utilisateur ou du compte de service sont écrits dans un fichier temporaire pendant le processus de connexion. La macro %tempFile% est remplacée par ce nom de fichier lors de la connexion VPN. Après la mise à jour du cache, le VPN est déconnecté et le fichier temporaire est supprimé automatiquement. Consultez le manuel de référence OpenVPN pour plus de détails.

VPN personnalisé

• Commande de connexion exemple :-t vpn.selfservice.com -u john -i allow -U -P autologin -m other connect
• Macros prises en charge : %user_name%, %password%, %servername%, %portno%

Macros disponibles

Mise à jour des identifiants mis en cache sans client VPN

Utilisez cette option si votre organisation ne dispose pas d'infrastructure VPN ou utilise un fournisseur VPN non pris en charge par ADSelfService Plus.

Comment ça fonctionne

Lorsque Mise à jour des identifiants mis en cache sans client VPN est activée :

1. L'identité de l'utilisateur est vérifiée via MFA et la demande de réinitialisation de mot de passe est envoyée à ADSelfService Plus, qui met à jour le nouveau mot de passe dans AD.
2. Le cache local sur la machine de l'utilisateur est automatiquement mis à jour avec le nouveau mot de passe.

Limitations

La mise à jour du cache sans connexion VPN à AD peut affecter la manière dont les applications récupèrent les données sensibles via DPAPI. Cela inclut :

• Les mots de passe et les données de saisie automatique des formulaires dans les navigateurs tels qu'Internet Explorer et Google Chrome.
• Les mots de passe réseau stockés dans Credential Manager.
• Les clés privées pour Encrypting File System (EFS).
• Les certificats SSL/TLS dans Internet Information Services (IIS).

Par exemple, les mots de passe enregistrés dans Chrome sont stockés et récupérés via DPAPI, qui nécessite que le client ait été connecté à AD lors de la mise à jour du cache. Si le cache est mis à jour sans VPN, Chrome ne récupérera pas les informations utilisateur stockées avant la prochaine connexion de la machine à AD.

Cette option est prise en charge sur Windows Server 2008 R2 et versions ultérieures, ainsi que sur Windows 7 et versions ultérieures.

Étapes de configuration

1. Connectez-vous au portail d'administration ADSelfService Plus et accédez à Configuration > Outils administratifs > GINA/Mac/Linux (Ctrl+Alt+Del).
2. Cliquez sur Mise à jour des informations d'identification mises en cache Windows.
3. Activez l'option Activer la mise à jour des informations d'identification mises en cache.
4. Sélectionnez Mise à jour des identifiants mis en cache sans client VPN.
5. Cliquez sur Enregistrer.