Narzędzie Password Sync może służyć do aktualizowania haseł użytkowników Google Workspace i Cloud Identity bezpośrednio z Microsoft Active Directory.
Narzędzie Password Sync jest dostępne dla administratorów Google Workspace i Cloud Identity.
Jak to działa
Po zainstalowaniu i skonfigurowaniu Password Sync wysyła zaktualizowane hasła na Twoje konto Google za każdym razem, gdy użytkownik Active Directory zmieni swoje hasło.
- Zmiana hasła przez użytkownika powoduje wysłanie żądania aktualizacji do kontrolera domeny.
- System Microsoft Windows wywołuje bibliotekę DLL (Dynamic Link Library) usługi Password Sync z nowym hasłem i nazwą użytkownika w danym kontrolerze domeny.
- Usługa otrzymuje zaszyfrowane hasło wraz z nazwą użytkownika z pliku DLL.
- Usługa pobiera adres e-mail użytkownika z Active Directory przy użyciu LDAP.
- Usługa aktualizuje konto Google przy użyciu interfejsu Directory API. Aby interfejsy Google Workspace API działały poprawnie, musisz otworzyć kilka portów i dodać nazwy hostów do listy dozwolonych. Więcej informacji
- Użytkownik może zalogować się na swoje konto Google za pomocą hasła Active Directory.
Szczegóły techniczne
- Hasła w Active Directory można tylko zapisywać. Nie można ich odczytać za pomocą żadnego interfejsu, takiego jak LDAP. Dlatego konwencjonalne metody synchronizacji (np. Google Cloud Directory Sync) nie mają do nich dostępu. Jedynym sposobem na odczytanie haseł jest ich przechwycenie podczas ustawiania lub zmiany.
- Password Sync ma bibliotekę DLL o nazwie „password_sync_dll.dll”, która jest zainstalowana jako pakiet powiadomień LSA. Więcej informacji o pakietach powiadomień LSA znajdziesz w tym artykule firmy Microsoft.
- Zmiana hasła w określonym kontrolerze domeny sprawia, że do biblioteki DLL przesyłane jest zaktualizowane hasło i nazwa użytkownika. Funkcja Password Sync musi zostać zainstalowana na każdym kontrolerze domeny z możliwością zapisu, ponieważ system Microsoft Windows uruchamia synchronizację haseł na kontrolerze. Wywołanie ma miejsce przy każdej zmianie hasła – niezależnie od tego, czy robi to administrator czy użytkownik. Więcej informacji o funkcji wywołania zwrotnego PasswordChangeNotify znajdziesz w tym artykule firmy Microsoft.
- Gdy biblioteka DLL otrzyma nazwę użytkownika i hasło, haszuje hasło jako SHA512 z solą i wysyła je do usługi Password Sync.
- Usługa Password Sync („password_sync_service.exe”) znajduje adres e-mail użytkownika w Active Directory przy użyciu LDAP na podstawie nazwy użytkownika wysłanej przez plik DLL. Następnie aktualizuje konto Google przy użyciu interfejsu Directory API. Gdy hasła są zmieniane za pomocą interfejsu Directory API, niektóre tokeny OAuth aplikacji są unieważniane. Użytkownicy mogą być proszeni o ponowne zalogowanie się w aplikacjach przy użyciu nazwy użytkownika i hasła.
- Password Sync działa zgodnie z zasadami programowania filtrowania haseł ustalonymi przez firmę Microsoft. Szczegółowe informacje znajdziesz w tym artykule firmy Microsoft.
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.