Met Password Sync kun je de Google Workspace- en Cloud Identity-wachtwoorden van je gebruikers rechtstreeks updaten vanuit Microsoft Active Directory.
Wachtwoordsynchronisatie is beschikbaar voor Google Workspace- en Cloud Identity-beheerders.
Hoe het werkt
Nadat Password Sync is geïnstalleerd en geconfigureerd, worden geüpdatete wachtwoorden naar uw Google-account gestuurd telkens wanneer een Active Directory-gebruiker het wachtwoord wijzigt.
- Wanneer het wachtwoord van een gebruiker wordt gewijzigd, wordt het updateverzoek verzonden naar een domeincontroller (DC).
- De Dynamic Link Library (DLL) van Password Sync wordt opgeroepen door Microsoft Windows op die DC met het nieuwe wachtwoord en de nieuwe gebruikersnaam.
- De service ontvangt het gehashte wachtwoord en de gebruikersnaam van de DLL.
- De service haalt het e-mailadres van de gebruiker op uit Active Directory via LDAP.
- De service updatet je Google-account met de Directory API. Google Workspace API's werken alleen goed als je verschillende poorten opent en bepaalde hostnamen toevoegt aan je toelatingslijst. Meer informatie
- De gebruiker kan dan inloggen op het Google-account met het Active Directory-wachtwoord.
Technische details
- In Active Directory worden wachtwoorden als alleen-schrijven opgeslagen. Ze kunnen niet worden gelezen via een interface, zoals LDAP. Daarom hebben conventionele synchronisatiemethoden (zoals Google Cloud Directory Sync) geen toegang tot deze gegevens. De enige manier om wachtwoorden te lezen, is door ze vast te leggen wanneer ze worden ingesteld of gewijzigd.
- Password Sync heeft een DLL met de naam password_sync_dll.dll geïnstalleerd als LSA-meldingspakket. Ga naar dit Microsoft-artikel voor meer informatie over LSA-meldingspakketten.
- Als een wachtwoord op een specifieke DC wordt gewijzigd, ontvangt de DLL het geüpdatete wachtwoord en de gebruikersnaam van de gebruiker. Password Sync moet worden geïnstalleerd op elke beschrijfbare DC, omdat Windows op de DC die de wachtwoordwijziging ontvangt, de wachtwoordsynchronisatie activeert. De trigger vindt plaats bij elke wachtwoordupdate, of deze nu wordt uitgevoerd door een beheerder of door de eindgebruiker. Ga naar dit Microsoft-artikel voor meer informatie over de callbackfunctie PasswordChangeNotify.
- Als de DLL de gebruikersnaam en het wachtwoord ontvangt, wordt het wachtwoord gehasht als SHA512 met salt en naar de Password Sync-service gestuurd.
- De Password Sync-service (password_sync_service.exe) zoekt dan het e-mailadres van de gebruiker in Active Directory met LDAP op basis van de gebruikersnaam die is gestuurd door de DLL. Daarna updatet de service het Google-account met de Directory API. Als wachtwoorden worden gewijzigd via de Directory API, worden sommige OAuth-tokens van apps ingetrokken. Gebruikers moeten misschien opnieuw inloggen bij apps met hun gebruikersnaam en wachtwoord.
- Password Sync volgt de programmeringsoverwegingen voor wachtwoordfilters van Microsoft. Ga naar dit Microsoft-artikel voor meer informatie.
Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.