Портал для изменения паролей учётных записей AD?

Question

[MeredithMcGlynn]

Здравствуйте. Имеется контроллер домена AD и около 300 пользователей в нём. Время от времени у пользователей возникает желание поменять доменный пароль, с чем они обращаются с заявками в Helpdesk.
Возникла идея создать пользовательский портал, на котором можно будет менять пароль от учёток.
Поднял ВМ Debian, на неё поставил samba, winbind и nginx, после чего ввёл её в домен.
Смену пароля хочу реализовать посредством php-скрипта, который будет вызываться из портала.
Вопрос состоит в следующем:
1) Возможно ли создать такой скрипт? Думал использовать в нём smbpasswd, но не уверен, что выйдет без вызова промпта для ввода пароля из терминала;
2) Насколько такое решение будет адекватным с точки зрения безопасности?

Comments

[Rsa97]

А в чем проблема поменять пароль прямо на своём рабочем компьютере?
Ctrl+Alt+Del => Изменить пароль

[MeredithMcGlynn]

Rsa97, Ctrl+Alt+Del позволит поменять только локальный пароль, я же думаю в сторону смены пароля от доменных учётных записей самими пользователями

[maxsmeller]

MeredithMcGlynn, какой такой локальный пароль? В машины вход не по доменному учётку что-ли?

[Роман Безруков]

MeredithMcGlynn, это кто вам такое сказал?

Answer 1

[Довольный Айтишникъ]

Зачем изобретать велосипед?
Ctrl+Alt+Del => Изменить пароль
Меняет пароль пользователя который сейчас залогинен и без разницы доменный он или локальный. Конечно же если в AD в учетке пользователя не стоит отметка "запретить пользователю менять пароль."

Comments

[ky0]

Осталось понять, что делать тем:

1. Кто не на винде.
   
2. У кого протух/забыт пароль и нет активной сессии.
   

[Довольный Айтишникъ]

ky0, у кого протух - при входе винда затребует его смену
кто не на винде - это исключения и в вопросе об этом ни слова, а значит все виндовые юзвери

[ky0]

Довольный Айтишникъ, это исключения, когда организация - колл-центр в офисе без удалёнки. Как только появляются пользователи на удалёнке - появляются личные девайсы и пачка макбуков (в первую очередь у менеджмента). Им расскажите, что для разблокировки аккаунта им с Кипра придётся приехать в Чертаново и дойти до рабочего компа :)

[Довольный Айтишникъ]

ky0, не поверите, прекрасно рассказываю, что они сами себе злобные буратина и им даже предупреждение о необходитмости сменить пароль в течении недели уже приходит (да, тут уже самописный скриптик рассылает). И все довольны, работает так уже более 5 лет.

Answer 2

[ky0]

Всё уже придумано за вас:
https://self-service-password.readthedocs.io/en/stable/

Answer 3

[hint000]

Где-то обсуждали, но не уверен, что найду источник. Может даже на Хабр Q&A.

В качестве такого портала можно использовать любую винду (1) в домене, (2) с включенным удалённым доступом (роль RDS не требуется), (3) с выключенным требованием NLA и (4) с выключенными для простых смертных правами на удалённый доступ. Все пункты существенные. Отключение NLA нужно, чтобы не отфутболивало пользователя с галкой "требовать смену пароля", либо с просроденным паролем. Отсутствие же прав на доступ нивелирует дыру, создаваемую отключением NLA. Фактически, простые смертные не смогут сделать ничего, кроме смены пароля, после чего пользователя выкинет.

Comments

[Евгений Хлебников]

"босяцкий" способ, но рабочий )