Lösenordssynkronisering kan användas för att uppdatera användarnas Google Workspace- och Cloud Identity-lösenord direkt från Microsoft Active Directory.
Lösenordssynkronisering är tillgängligt för Google Workspace- och Cloud Identity-administratörer.
Så fungerar det
När lösenordssynkronisering har installerats och konfigurerats skickas uppdaterade lösenord till ditt Google-konto varje gång en Active Directory-användare ändrar sitt lösenord.
- När en användares lösenord ändras skickas uppdateringsbegäran till en domänkontrollant (DK).
- Password Sync Dynamic Link Library (DLL) anropas av Microsoft Windows på den domänkontrollanten med det nya lösenordet och användarnamnet.
- Tjänsten tar emot det hashlagrade lösenordet och användarnamnet från DLL.
- Tjänsten hämtar e-postadressen för användaren från Active Directory med hjälp av LDAP.
- Tjänsten uppdaterar ditt Google-konto med Directory API. För att Google Workspace API:er ska fungera korrekt måste du dessutom öppna flera portar och lägga till några värdnamn på godkännandelistan. Läs mer
- Användaren kan sedan logga in på sitt Google-konto med sitt Active Directory-lösenord.
Teknisk information
- I Active Directory lagras lösenord som skrivskyddade. De kan inte läsas via något gränssnitt, till exempel LDAP. Därför kan konventionella synkroniseringsmetoder (till exempel Google Cloud Directory Sync) inte komma åt dem. Det enda sättet att läsa lösenord är att registrera dem när de anges eller ändras.
- Lösenordssynkronisering har en DLL-fil med namnet password_sync_dll.dll installerad som ett LSA-aviseringspaket. Mer information om LSA-aviseringspaket finns i den här Microsoft-artikeln.
- När en lösenordsändring sker på en viss DK tar DLL emot det uppdaterade lösenordet och användarens användarnamn. Lösenordssynkronisering måste vara installerat på alla skrivbara domänkontrollanter eftersom Windows på domänkontrollanten som tar emot lösenordsändringen utlöser lösenordssynkroniseringen. Utlösaren sker vid varje lösenordsuppdatering, oavsett om den görs av en administratör eller av slutanvändaren. Mer information om återanropsfunktionen PasswordChangeNotify finns i den här Microsoft-artikeln.
- När DLL-filen tar emot användarnamnet och lösenordet hashar den lösenordet som saltat SHA512 och skickar det till tjänsten för lösenordssynkronisering.
- Tjänsten för lösenordssynkronisering (password_sync_service.exe) hittar sedan användarens e-postadress i Active Directory med LDAP baserat på användarnamnet som skickas av DLL. Sedan uppdateras Google-kontot med hjälp av Directory API. När lösenord ändras via Directory API återkallas vissa OAuth-token för appar. Användarna kan behöva logga in igen på appar med sitt användarnamn och lösenord.
- Lösenordssynkronisering följer Microsofts programmeringsöverväganden för lösenordsfilter. Mer information finns i den här Microsoft-artikeln.
Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.