Password Sync позволяет обновлять пароли пользователей Google Workspace и Cloud Identity непосредственно из Microsoft Active Directory.
Password Sync доступен администраторам Google Workspace и Cloud Identity.
Принцип работы
Если приложение Password Sync настроено, то изменение паролей пользователей в Active Directory ведет к обновлению их паролей в аккаунте Google.
- После того как пароль пользователя был изменен, контроллеру домена отправляется запрос на обновление.
- Microsoft Windows вызывает на этом контроллере динамически подключаемую библиотеку (DLL) Password Sync с помощью нового пароля и имени пользователя.
- GSPS получает от DLL хешированный пароль и имя пользователя для входа.
- Сервис получает адрес электронной почты пользователя из Active Directory с помощью LDAP.
- После этого сервис обновляет аккаунт Google с помощью Directory API. Кроме того, для правильной работы Google Workspace API вам потребуется открыть несколько портов и добавить некоторые имена хостов в белый список. Подробнее…
- После этого пользователь сможет войти в аккаунт Google, используя пароль Active Directory.
Технические сведения
- Пароли хранятся в Active Directory с правами доступа только на запись. Их нельзя прочитать через какой-либо интерфейс, например LDAP. Поэтому стандартные методы синхронизации, например Google Cloud Directory Sync, не могут получить к ним доступ. Единственный способ прочитать пароли – перехватить их в момент установки или изменения.
- В Password Sync есть динамически подключаемая библиотека password_sync_dll.dll, которая устанавливается как пакет уведомлений LSA. Подробные сведения об этом пакете приведены в статье Microsoft.
- Когда пароль на каком-либо контроллере домена изменяется, DLL получает обновленный пароль и имя пользователя. Вам потребуется установить Password Sync на каждом контроллере, доступном для записи, поскольку Windows запускает синхронизацию паролей на том контроллере, который получает обновленный пароль. Это происходит при каждом обновлении пароля независимо от того, кто его изменяет, – администратор или конечный пользователь. Подробные сведения о функции обратного вызова PasswordChangeNotify приведены в этой статье Microsoft.
- Получив имя пользователя и пароль, DLL хеширует пароль как salted SHA512 и отправляет его в сервис Password Sync.
- Затем сервис Password Sync (password_sync_service.exe) находит адрес электронной почты пользователя в Active Directory с помощью LDAP на основе имени пользователя, переданного DLL. Затем он обновляет аккаунт Google с помощью Directory API. При изменении паролей с помощью Directory API некоторые токены OAuth приложений отзываются. Пользователям может потребоваться снова войти в приложения, указав имя пользователя и пароль.
- Password Sync учитывает рекомендации по программированию фильтрации паролей Microsoft. Дополнительную информацию можно найти в справочной статье Microsoft.
Google, Google Workspace и связанные наименования и логотипы являются товарными знаками компании Google LLC. Все другие названия компаний и продуктов являются товарными знаками соответствующих компаний.