Password Policy Enforcer

    La fonctionnalité Password Policy Enforcer d'ADSelfService Plus garantit que les utilisateurs choisissent des mots de passe forts qui respectent la politique de mot de passe de votre organisation et assurent la conformité aux normes réglementaires.

    Comment ça fonctionne

    Le Password Policy Enforcer valide les mots de passe selon des règles personnalisées définies par l'administrateur lors des réinitialisations de mot de passe en libre-service, des changements de mot de passe et des tentatives de connexion. Il vérifie la complexité des mots de passe, notamment les types de caractères, les motifs de répétition, les séquences clavier, les mots du dictionnaire et les contraintes de longueur.

    Cette fonctionnalité peut également s'intégrer avec Have I Been Pwned pour détecter les mots de passe compromis et obliger les utilisateurs à changer les mots de passe faibles ou compromis lors des tentatives de connexion sur les portails web, sites mobiles, applications mobiles et machines Windows.

    Prérequis

    Accès administrateur : Vous devez disposer d’un accès administrateur ou technicien au portail ADSelfService Plus pour configurer les paramètres du Password Policy Enforcer.

    Dépendances de version des points de terminaison (pour les regex patterns) : Si vous activez des politiques de mot de passe basées sur des expressions régulières, assurez-vous que l’agent de connexion sur les machines des utilisateurs est en version 6.11 ou supérieure, et que l’application mobile ADSelfService Plus est au moins en version 1.7.2 (Android) ou 1.6.6 (iOS).

    Configuration du Password Policy Enforcer

    Pour configurer les paramètres de la politique de mot de passe dans ADSelfService Plus :

    1. Connectez-vous au portail administrateur ADSelfService Plus.
    2. Accédez à l’onglet Configuration. Sous la section Self-Service, sélectionnez Password Policy Enforcer.
    3. Activez Enforce Custom Password Policy.
    4. Configure the following policy settings:
      • Restreindre les caractères : Limitez le nombre de caractères spéciaux, chiffres et caractères Unicode utilisés dans les mots de passe.
    Password Policy Enforcer
    • Répétition : Appliquez une vérification de l’historique des mots de passe lors de la réinitialisation, et limitez la répétition consécutive d’un caractère spécifique provenant du nom d’utilisateur (par exemple, "aaaaa" ou "user01").
    Password Policy Enforcer
    • Motifs : Restrict keyboard sequences, dictionary words, and palindromes, or ensure that users' passwords meet specific criteria by enforcing a regex pattern. En savoir plus sur la configuration d’un motif regex ici.
      • Important : Assurez-vous que le motif regex et les autres règles de politique de mot de passe ne sont pas en conflit.
    Password Policy Enforcer
    • Longueur : Spécifiez la longueur minimale et maximale du mot de passe.
    Password Policy Enforcer
    1. Ignorer toutes les règles de complexité si la longueur du mot de passe est au moins <n> : Lorsque cette option est activée, les utilisateurs peuvent définir un mot de passe qui ne doit pas respecter les exigences de complexité (comme les majuscules, chiffres ou caractères spéciaux) tant que la longueur du mot de passe est égale ou supérieure à la valeur spécifiée (par exemple, 20 caractères).
    2. Le mot de passe doit satisfaire au moins <n> des exigences de complexité ci-dessus : Spécifiez le nombre minimum de règles de complexité (comme majuscules, chiffres ou caractères spéciaux) que le mot de passe d’un utilisateur doit respecter lors des opérations de réinitialisation et de changement de mot de passe en libre-service. Par exemple, si <n> est défini à 3, le mot de passe doit respecter au moins trois des exigences de complexité listées.
    3. Afficher cette exigence de politique dans les pages Réinitialiser et Changer le mot de passe : Activez cette option pour afficher les exigences de la politique de mot de passe sur les pages Réinitialiser le mot de passe et Changer le mot de passe, aidant ainsi les utilisateurs à créer des mots de passe conformes.
    4. Appliquer cette politique dans l’écran GINA/CP (Ctrl+Alt+Del) et lors des réinitialisations de mot de passe ADUC via Password Sync Agent : Activez cette option pour appliquer les paramètres de politique de mot de passe configurés aux mots de passe modifiés depuis l’écran Windows Ctrl+Alt+Del (GINA/CP) et aux réinitialisations de mot de passe effectuées via Active Directory Users and Computers (ADUC) en utilisant Password Sync Agent. Cela garantit que les mêmes règles de mot de passe sont appliquées tant aux changements initiés par l’utilisateur qu’aux réinitialisations initiées par l’administrateur.
    • Personnaliser l’affichage : Cliquez sur Personnaliser l’affichage pour ouvrir une fenêtre contextuelle où vous pouvez définir comment les règles de politique de mot de passe sont présentées aux utilisateurs lors de la réinitialisation du mot de passe.

    Par exemple, si un motif regex exige que le mot de passe contienne au moins trois symboles @, vous pouvez décrire clairement cette exigence dans le texte affiché aux utilisateurs.

    Password Policy Enforcer

    Note : Si vous activez ou modifiez l’un des paramètres ci-dessus et que Password Sync Agent est installé, vous devez mettre à jour les paramètres de configuration dans l’agent pour que les modifications prennent effet. Veuillez vous référer à ces étapes pour mettre à jour les configurations de Password Sync Agent.

    Conseils

    1. Offrez un retour visuel sur la robustesse du mot de passe utilisateur en utilisant le Password Strength Analyzer. Pour l’activer, ouvrez l’onglet Configuration > section Self-Service > Configuration de la politique. Cliquez sur Avancé. Dans la fenêtre qui s’ouvre, allez à Réinitialiser & Débloquer et sélectionnez Activer l’analyse de la robustesse du mot de passer.
    2. Équilibrer sécurité et facilité d’utilisation : Lors de la définition des exigences de longueur de mot de passe, envisagez d’activer l’option ignorer les règles de mot de passe pour les mots de passe très longs (par exemple, plus de 20 caractères) afin d’encourager l’utilisation de phrases de passe tout en maintenant la complexité pour les mots de passe plus courts.
    3. Éviter les conflits de politique : Avant de déployer des motifs de mot de passe basés sur regex, testez-les soigneusement pour vous assurer qu’ils ne sont pas en conflit avec d’autres règles de politique (restrictions de caractères, limites de répétition, etc.).