Портал для изменения паролей учётных записей AD?

Question

[MeredithMcGlynn]

Здравствуйте. Имеется контроллер домена AD и около 300 пользователей в нём. Время от времени у пользователей возникает желание поменять доменный пароль, с чем они обращаются с заявками в Helpdesk.
Возникла идея создать пользовательский портал, на котором можно будет менять пароль от учёток.
Поднял ВМ Debian, на неё поставил samba, winbind и nginx, после чего ввёл её в домен.
Смену пароля хочу реализовать посредством php-скрипта, который будет вызываться из портала.
Вопрос состоит в следующем:
1) Возможно ли создать такой скрипт? Думал использовать в нём smbpasswd, но не уверен, что выйдет без вызова промпта для ввода пароля из терминала;
2) Насколько такое решение будет адекватным с точки зрения безопасности?

Comments

[Rsa97]

А в чем проблема поменять пароль прямо на своём рабочем компьютере?
Ctrl+Alt+Del => Изменить пароль

[MeredithMcGlynn]

Rsa97, Ctrl+Alt+Del позволит поменять только локальный пароль, я же думаю в сторону смены пароля от доменных учётных записей самими пользователями

[maxsmeller]

MeredithMcGlynn, какой такой локальный пароль? В машины вход не по доменному учётку что-ли?

[Роман Безруков]

MeredithMcGlynn, это кто вам такое сказал?

Answer 1

[Довольный Айтишникъ]

Зачем изобретать велосипед?
Ctrl+Alt+Del => Изменить пароль
Меняет пароль пользователя который сейчас залогинен и без разницы доменный он или локальный. Конечно же если в AD в учетке пользователя не стоит отметка "запретить пользователю менять пароль."

Comments

[ky0]

Осталось понять, что делать тем:

1. Кто не на винде.
   
2. У кого протух/забыт пароль и нет активной сессии.
   

[Довольный Айтишникъ]

ky0, у кого протух - при входе винда затребует его смену
кто не на винде - это исключения и в вопросе об этом ни слова, а значит все виндовые юзвери

[ky0]

Довольный Айтишникъ, это исключения, когда организация - колл-центр в офисе без удалёнки. Как только появляются пользователи на удалёнке - появляются личные девайсы и пачка макбуков (в первую очередь у менеджмента). Им расскажите, что для разблокировки аккаунта им с Кипра придётся приехать в Чертаново и дойти до рабочего компа :)

[Довольный Айтишникъ]

ky0, не поверите, прекрасно рассказываю, что они сами себе злобные буратина и им даже предупреждение о необходитмости сменить пароль в течении недели уже приходит (да, тут уже самописный скриптик рассылает). И все довольны, работает так уже более 5 лет.

[sanglyb]

ky0, крайне любопытно, чем поможет self service при
«У кого протух/забыт пароль и нет активной сессии.»
В частности в случае «забыт».
По теме:
как ниже писали можно на любой машине rdp поднять и с нее менять.
Можно покопать в сторону ad fs:
https://learn.microsoft.com/en-us/windows-server/i...

Есть всякое готовое добро, как платное, так и не очень, например платное: https://www.manageengine.com/products/self-service...
Если не в моготу поколхозить, то я бы наверное в сторону php ldap посмотрел, нежели в самбу:
https://www.php.net/manual/en/function.ldap-modify...

[ky0]

sanglyb,

крайне любопытно, чем поможет self service при
«У кого протух/забыт пароль и нет активной сессии.»

В смысле, чем? Там есть reset с отправкой ссылки на смену пароля, например, на почту.

[sanglyb]

ky0, там, это где? Если пользователь забыл свой пароль, как он зайдет на почту?
Вы хотите делать отправку предельно опасных ссылок, на левые почтовые сервисы? Тогда уж нужно смотреть на отправку смсок, или сообщений в условный телеграм.
Подобный сервис, как минимум, будет требовать особой ответственности и понимание кучи нюансов относящихся к ИБ, и лучше не страдать в данном случае колхозом, а смотреть на готовое решение.

[ky0]

sanglyb, "готовое решение" - это та штука, которая требует наличия определённой ОС и введённости устройства в домен?

Давайте прекратим этот бесплодный диалог - вы придираетесь к решаемым мелочам, мне это не особо интересно.

Answer 2

[ky0]

Всё уже придумано за вас:
https://self-service-password.readthedocs.io/en/stable/

Answer 3

[hint000]

Где-то обсуждали, но не уверен, что найду источник. Может даже на Хабр Q&A.

В качестве такого портала можно использовать любую винду (1) в домене, (2) с включенным удалённым доступом (роль RDS не требуется), (3) с выключенным требованием NLA и (4) с выключенными для простых смертных правами на удалённый доступ. Все пункты существенные. Отключение NLA нужно, чтобы не отфутболивало пользователя с галкой "требовать смену пароля", либо с просроденным паролем. Отсутствие же прав на доступ нивелирует дыру, создаваемую отключением NLA. Фактически, простые смертные не смогут сделать ничего, кроме смены пароля, после чего пользователя выкинет.

Comments

[Евгений Хлебников]

"босяцкий" способ, но рабочий )