Sujet précédent Sujet suivant

Synchronisation des mots de passe

Grâce à cette fonctionnalité, vous pouvez synchroniser :

1. Les mots de passe via le synchroniseur de mots de passe en temps réel.
2. Les mots de passe via des scripts personnalisés.

Synchroniseur de mots de passe

Sous Synchroniseur de mots de passe, vous pouvez

• Automatiser la synchronisation des mots de passe avec les comptes liés des utilisateurs après qu'une action en libre-service (réinitialisation ou changement de mot de passe) soit reflétée dans AD.
• Automatiser le déblocage des comptes pour les comptes liés des utilisateurs après qu'une action de déblocage soit reflétée dans AD.
• Forcer la synchronisation des mots de passe avec les comptes liés des utilisateurs. Ils ne peuvent pas désélectionner l’un de leurs comptes liés lors de la synchronisation des mots de passe.
• Permettre aux utilisateurs d'exempter leur compte AD de la synchronisation des mots de passe.

Exemple: Supposons que des utilisateurs souhaitent conserver des mots de passe différents pour leurs comptes Windows et non-Windows ; avec cette option, l’administrateur peut permettre aux utilisateurs de désélectionner AD dans la liste des comptes disponibles pour la synchronisation des mots de passe. Ils pourront réinitialiser les mots de passe de leur compte non-Windows (comptes Google apps, comptes Microsoft 365, etc.) sans affecter leur mot de passe Windows.

• Permettre aux utilisateurs de sélectionner les comptes liés requis pour la synchronisation des mots de passe en ayant les comptes désélectionnés par défaut lors des actions en libre-service (réinitialisation de mot de passe, déblocage de compte et changement de mot de passe).
• Cochez la case à côté de Masquer l’onglet Application lorsque l’option de liaison de compte automatique est activée pour retirer l’onglet application du portail en libre-service de l’utilisateur lorsque celui-ci n’a accès à aucune application d’entreprise pour la SSO et que la liaison de compte est activée pour la synchronisation des mots de passe.

Action postérieure

Sous Action postérieure, vous pouvez :

• Synchroniser les mots de passe des utilisateurs avec d'autres fournisseurs en exécutant un script personnalisé.
• Synchroniser les statuts de verrouillage des comptes avec d’autres fournisseurs en exécutant un script personnalisé.

Considérations importantes de sécurité

Les étapes mentionnées ci-dessous doivent être respectées lors de la mise en œuvre des scripts personnalisés :

• Le fichier script doit être placé dans [Installation_Directory]/Scripts. Les références aux sous-dossiers ne sont pas autorisées.
• La commande du script doit contenir uniquement le nom du fichier et ses arguments.
• Le premier argument doit être un nom de fichier avec son extension. Seuls les scripts VBScript (.vbs) et PowerShell (.ps1) sont autorisés.
• L’utilisation de '..' est restreinte dans la commande du script.
• Les arguments transmis au script seront encodés en Base64 pour empêcher les attaques par injection de commandes.

Décodage des arguments

Une validation insuffisante des commandes en ligne de commande permet à un acteur malveillant d’exécuter des commandes arbitraires sur le système d’exploitation hôte. Pour protéger les utilisateurs contre ces attaques, tous les arguments du script seront encodés en Base64. Ces arguments doivent être décodés dans le script avant leur exécution.

Remarque: Pour faciliter ce processus, le dossier scripts comprend deux fichiers - sample-base64.vbs et sample-base64.ps1. Ces fichiers contiennent un code exemple pour décoder depuis le Base64.

Décodage Base64 en VBScript :

Un fichier d’assistance présent dans [Installation Directory]/Scripts/utils/Base64Decoder.vbs contient la fonction Base64Decode. Vous pouvez utiliser cette fonction dans vos scripts pour décoder une valeur Base64.

• Importez le fichier Base64Decoder.vbs dans votre script.
• Passez la valeur encodée à la fonction Base64Decode. La fonction décodera la valeur et retournra la chaîne UTF-8.

Décodage Base64 en VBScript

Include("utils\Base64Decoder.vbs")
For Each arg In WScript.Arguments
	Dim decodedArg
	decodedArg = Base64Decode(arg)
	f.WriteLine("Before decoding: " + arg)
	f.WriteLine("After decoding: " + decodedArg)
Next

Décodage Base64 en script PowerShell :

• Passez la chaîne encodée à la fonction [System.Convert]::FromBase64String. Cela retournera la valeur décodée sous forme de tableau d’octets.
• Passez le tableau d’octets à la fonction [System.Text.Encoding]::UTF-8.GetString. Cela convertira le tableau d’octets en une chaîne UTF-8.

Décodage Base64 en script PowerShell

foreach ($arg in $args) {
	$decodedArg = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($arg))
	Add-Content -Path sample-base64-test.txt -Value "Before decoding: $arg"
	Add-Content -Path sample-base64-test.txt -Value "After decoding: $decodedArg"
}

Sujet précédent Sujet suivant