Active Directory Parolasını sıfırlama yolları

Active Directory kullanıcıları etki alanı parolalarını unuttuklarında veya parolalarının süresinin dolmasına izin verdiklerinde, parolaları sıfırlamak yöneticilerin yükü haline gelir. Parola ile ilgili yardım masası biletleri hala yardım masası tarafından alınan en yaygın biletlerden biridir. Parolaları hızlı ve güvenli bir şekilde sıfırlamak önemlidir. Yöneticilerin bir kullanıcının parolasını sıfırlayabileceği birden fazla yöntem vardır. Bunlar:

• Active Directory Kullanıcıları ve Bilgisayarları (ADUC) konsolu
• DSMOD komut satırı aracı
• PowerShell betiği
• Üçüncü taraf Active Directory parola yönetimi araçları

Bu makalede, Active Directory parolalarını sıfırlamak için bu yöntemlerin nasıl kullanılacağını ve hangi yöntemin en uygun olduğunu göreceğiz.

Başlamadan önce

Kullandığınız yöntem ne olursa olsun, kullanıcıların parolalarını sıfırlamak için Active Directory'de yeterli izinlere sahip olmanız önemlidir. Etki Alanı Yöneticileri grubunun bir parçası olmanız ya da en azından Active Directory'de Hesap İşlemleri güvenlik grubunun bir üyesi olmanız gerekir. Parola sıfırlama görevlerini yardım masası teknisyenlerine devrediyorsanız, parola sıfırlama izni atamak için AD'deki OU temsilci atama özelliğini kullanabilirsiniz.

ADUC konsolu aracılığıyla parolaları sıfırlama

Not: Etki alanı denetleyicisine erişiminiz yoksa, Uzak Sunucu Yönetim Araçları (RSAT)'nı yüklediğinizden ve ADUC MMC ek bileşenini etkinleştirdiğinizden emin olun.

1. Etki alanına bağlı bir bilgisayarda oturum açın ve Active Directory Kullanıcıları ve Bilgisayarları konsolunu açın.
2. Parolasını sıfırlamak istediğiniz kullanıcı hesabını bulun.
3. Sağ bölmede, kullanıcı hesabına sağ tıklayın ve Parolayı Sıfırla’yı seçin.
4. Yeni parolayı yazın ve onaylamak için tekrar girin.

ADUC kullanarak birden fazla kullanıcı hesabı seçebilir ve ardından seçilen kullanıcılar için ortak bir parola belirleyebilirsiniz. Ancak, yalnızca tek bir kuruluş birimindeki kullanıcıları seçebilirsiniz ve seçilen kullanıcılar için yalnızca ortak bir parola belirlenebilir.

Dsmod komut satırını kullanarak parolaları sıfırlama

Dizin Hizmeti Değiştirme (Dsmod) aracı, dizin hizmeti nesnelerini değiştirmek için Windows Server 2003'ten Windows Server 2012'ye kadar kullanılabilen bir komut satırı aracıdır. Yüklü Active Directory Etki Alanı Hizmetleri (AD DS) sunucu rolünüz varsa kullanılabilir. PowerShell, Dsmod'un yerini almış olsa da, parolaları sıfırlamak da dahil olmak üzere kullanıcı hesabı özelliklerini değiştirmek için yine de harika bir araçtır.

Dsmod'u kullanmak için, Dsmod komutunu yükseltilmiş bir Komut İstemi'nden çalıştırmanız gerekir. Yükseltilmiş bir Komut İstemi açmak için Başlat'a tıklayın, Komut İstemi'ne sağ tıklayın ve ardından Yönetici olarak çalıştır'a tıklayın.

John Doe'nun parolasını sıfırlamak ve ağda bir sonraki oturum açışında parolasını değiştirmeye zorlamak için şunu yazın:

DSMOD user "CN=John Doe,CN=Users,DC=mydomain,DC=Com" -pwd A1b2C3d4 -mustchpwd yes

Bu komut yeterince basit görünse de, kullanıcının ayırt edici adını sağlamanız gerekir. Dsmod komutları sAMAccountName'i kabul etmez. Ayrıca, birden fazla kullanıcı hesabının parolalarının sıfırlanması komutu daha karmaşık ve hataya açık hale getirecektir.

PowerShell cmdlet'lerini kullanarak parolaları sıfırlama

Set-ADAccountPassword PowerShell cmdlet'i, parola sıfırlama işlemlerini gerçekleştirmek için kullanılabilir. Bu cmdlet, Distinguished Name ve kullanıcı nesnesi GUID'sini kabul etmenin yanı sıra bir kullanıcı hesabının sAMAccountName'ini de kabul edebilen “-Identity” parametresini sağlar. Tek bir kullanıcı hesabının parolasını sıfırlamak için aşağıdaki PowerShell komutunu yürütün:

Set-ADAccountPassword –Identity JohnDoe –Reset –NewPassword (ConvertTo-SecureString -AsPlainText "ThisPassword001" -Force)

PowerShell betikleri bir kullanıcının parolasını sıfırlamak için harika bir yol olsa da, birden fazla kullanıcının parolasını sıfırlamak istiyorsanız betik çok karmaşık hale gelecektir.

ADSelfService Plus kullanarak parolaları sıfırlama

Tümleşik bir Active Directory self servis parola yönetimi ve çoklu oturum açma çözümü olan ADSelfService Plus, son kullanıcıların kendi başlarına parolalarını sıfırlamalarını sağlar. Parolaları sıfırlamalarına izin vermeden önce kullanıcıların kimliklerini doğrulamak için YubiKey Authenticator, Google Authenticator ve biyometrik kimlik doğrulama gibi güvenli kimlik doğrulama yöntemlerini kullanır. Dahası var:

• Kullanıcılar Active Directory parolalarını doğrudan Windows, Linux ve macOS makinelerinin oturum açma ekranından ve ADSelfService Plus Android ve iOS uygulamalarını kullanarak mobil cihazlarından sıfırlayabilirler.
• Self servis parola sıfırlama ve hesap kilidi açma, etki alanındaki tüm kullanıcılar için veya OU ve grup tabanlı ilkeler oluşturarak belirli kullanıcılar için etkinleştirilebilir.
• Parolalar, AD etki alanı parola ilkesinde eksik olan sözlük kuralı, desen denetleyicisi ve diğer karmaşıklık ayarlarını içeren yerleşik parola ilkesi geliştirici özelliği aracılığıyla karmaşıklık ve uyumluluk açısından denetlenebilir.

ADSelfService Plus kullanarak Active Directory kullanıcıları için self servis parola sıfırlamayı etkinleştirmek için:

1. ADSelfService Plus'ı indirin ve yükleyin.
2. Yönetici kimlik bilgilerini kullanarak oturum açın.

Not: Varsayılan olarak, ADSelfService Plus için hem kullanıcı adı hem de parolalar admin'dir.

3. AD etki alanınızı yapılandırmanız istenecektir. Kimlik doğrulama için, Active Directory'de parolayı sıfırla ayrıcalığına sahip bir hesap sağladığınızdan emin olun.
4. Yapılandırma > Self Servis > İlke Yapılandırması'na gidin.

5. Parolayı Sıfırla onay kutusunu seçin. Ardından, bu özelliği etkinleştirmek istediğiniz kullanıcıları seçmek için OU'ları/Grupları Seç'e tıklayın.
6. İlkeyi Kaydet öğesine tıklayın.
7. Çok Faktörlü Kimlik Doğrulaması öğesine tıklayın (İlke Yapılandırması menüsünün altında).

8. Gerekli çok faktörlü kimlik doğrulama yöntemlerini ayarlayın. Seçtiğiniz yöntemlere bağlı olarak, kullanıcıların kayıt adı verilen bir işlemde söz konusu yöntem için gerekli bilgileri sağlamaları gerekebilir.
9. Şimdi Yapılandırma > Yönetim Araçları > Hızlı Kayıt öğesine giderek kullanıcıları kaydedin. Kullanıcıları otomatik olarak kaydedebilir, onlara bir bildirim gönderebilir veya kaydolmaya zorlayabilirsiniz.

İşte bu kadar! Kullanıcılar kaydolduktan sonra, yardım masasına başvurmadan parolalarını sıfırlayabilirler.