אתם יכולים להשתמש בסנכרון סיסמאות כדי לעדכן את הסיסמאות של המשתמשים ב-Google Workspace וב-Cloud Identity ישירות מ-Microsoft Active Directory.
הכלי Password Sync זמין לאדמינים ב-Google Workspace וב-Cloud Identity.
איך זה עובד
אחרי שמתקינים ומגדירים את Password Sync, הכלי שולח סיסמאות מעודכנות לחשבון Google בכל פעם שמשתמש ב-Active Directory משנה את הסיסמה שלו.
- כשמשתמש משנה את הסיסמה שלו, בקשת העדכון נשלחת לבקר דומיין (DC).
- Microsoft Windows קורא לספריית הקישור הדינמי (DLL) של סנכרון סיסמאות ב-DC הזה, עם הסיסמה ושם המשתמש החדשים.
- השירות מקבל את הסיסמה המגובבת ואת שם המשתמש מה-DLL.
- השירות מקבל את כתובת האימייל של המשתמש מ-Active Directory באמצעות LDAP.
- השירות מעדכן את חשבון Google באמצעות Directory API. בנוסף, כדי שממשקי ה-API של Google Workspace יפעלו כמו שצריך, צריך לפתוח כמה יציאות ולהוסיף כמה שמות מארחים לרשימת ההיתרים. מידע נוסף
- המשתמש יכול להיכנס לחשבון Google שלו באמצעות הסיסמה שלו ב-Active Directory.
פרטים טכניים
- ב-Active Directory, הסיסמאות נשמרות כסיסמאות לכתיבה בלבד. אי אפשר לקרוא אותן דרך ממשק כלשהו, כמו LDAP. לכן, אי אפשר לגשת אליהם באמצעות שיטות סנכרון רגילות (לדוגמה, Google Cloud Directory Sync). הדרך היחידה לקרוא סיסמאות היא לתעד אותן כשהן מוגדרות או משתנות.
- ב-Password Sync מותקן קובץ DLL בשם password_sync_dll.dll כחבילת התראות של LSA. מידע נוסף על חבילות התראות של LSA זמין במאמר הזה של מיקרוסופט.
- כשמתבצע שינוי סיסמה ב-DC ספציפי, ה-DLL מקבל את הסיסמה המעודכנת ואת שם המשתמש. צריך להתקין את Password Sync בכל בקר דומיין שניתן לכתיבה, כי Windows בבקר הדומיין שמקבל את שינוי הסיסמה מפעיל את סנכרון הסיסמאות. הטריגר מופעל בכל עדכון סיסמה, בין אם הוא מתבצע על ידי אדמין או על ידי משתמש הקצה. למידע נוסף על פונקציית הקריאה החוזרת PasswordChangeNotify, עיינו במאמר הזה של מיקרוסופט.
- כשה-DLL מקבל את שם המשתמש והסיסמה, הוא מגבב את הסיסמה כ-SHA512 עם גיבוב מומלח ושולח אותה לשירות סנכרון הסיסמאות.
- לאחר מכן, שירות סנכרון הסיסמאות ("password_sync_service.exe") מוצא את כתובת האימייל של המשתמש ב-Active Directory באמצעות LDAP, על סמך שם המשתמש שנשלח על ידי ה-DLL. לאחר מכן, הוא מעדכן את חשבון Google באמצעות Directory API. כשמשנים סיסמאות באמצעות Directory API, חלק מהאסימונים של OAuth באפליקציה מבוטלים. יכול להיות שהמשתמשים יצטרכו להיכנס שוב לאפליקציות באמצעות שם המשתמש והסיסמה שלהם.
- סנכרון הסיסמאות פועל בהתאם לשיקולי התכנות של מסנן הסיסמאות של מיקרוסופט. במאמר הזה של מיקרוסופט מופיעים פרטים נוספים.
Google, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.