Tutorial: Habilitar o write-back de redefinição de senha self-service do Microsoft Entra para um ambiente local

Com Microsoft Entra SSPR (redefinição de senha de autoatendimento), os usuários podem atualizar suas senhas ou desbloquear suas contas usando um navegador da Web. Recomendamos este vídeo em Como habilitar e configurar o SSPR em Entra ID. Em um ambiente híbrido em que Microsoft Entra ID está conectado a um ambiente do AD DS (Active Directory Domain Services local), as senhas podem ser diferentes entre os dois diretórios.

Você pode usar o write-back de senha para sincronizar alterações de senha no Microsoft Entra de volta ao seu ambiente do AD DS local. O Microsoft Entra Connect fornece um mecanismo seguro para enviar essas alterações de senha de volta para um diretório local existente do Microsoft Entra ID.

Neste tutorial, você aprenderá como:

Pré-requisitos

Para concluir este tutorial, você precisará dos seguintes recursos e privilégios:

• Um locatário do Microsoft Entra em funcionamento com pelo menos um Microsoft Entra ID P1 ou uma licença de avaliação habilitada.
  • Se necessário, crie um gratuitamente.
  • Para obter mais informações, consulte os requisitos de licenciamento do Microsoft Entra SSPR.
• Uma conta com Administrador de Identidade Híbrida.
• ID do Microsoft Entra configurado para redefinição de senha por autoatendimento.
  • Se necessário, conclua o tutorial anterior para habilitar o Microsoft Entra SSPR.
• Um ambiente local do AD DS existente configurado com uma versão atual do Microsoft Entra Connect.
  • Se necessário, defina o Microsoft Entra Connect usando as configurações Express ou Custom .
  • Para usar o write-back de senha, os controladores de domínio podem executar qualquer versão com suporte do Windows Server.

Configurar permissões de conta para o Microsoft Entra Connect

O Microsoft Entra Connect permite sincronizar usuários, grupos e credenciais entre um ambiente local do AD DS e o Microsoft Entra ID. Normalmente, você instala o Microsoft Entra Connect em um computador com Windows Server 2016 ou posterior que está ingressado no domínio local do AD DS.

Para trabalhar corretamente com o write-back do SSPR, a conta especificada no Microsoft Entra Connect deve ter as permissões e as opções apropriadas definidas. Se você não tiver certeza de qual conta está sendo usada no momento, abra o Microsoft Entra Connect e selecione a opção Exibir configuração atual . A conta à qual você precisa adicionar permissões está listada em Diretórios Sincronizados. As seguintes permissões e opções precisam estar definidas na conta:

• Redefinir a senha
• Alterar senha
• Permissões de gravação em lockoutTime
• Permissões de gravação em pwdLastSet
• Direitos estendidos para Não permitir expiração da senha no objeto raiz de cada domínio nessa floresta, caso ainda não estejam definidos.

Se você não atribuir essas permissões, o write-back poderá parecer estar configurado corretamente, mas os usuários encontrarão erros ao gerenciar suas senhas locais da nuvem. Ao definir as permissões Unexpire Password no Active Directory, você deve aplicá-la a Este objeto e todos os objetos descendentes, Somente este objeto ou Todos os objetos descendentes; caso contrário, a permissão Unexpire Password não será exibida.

Para configurar as permissões apropriadas para que ocorra o write-back de senha, conclua as etapas a seguir:

1. Em seu ambiente do AD DS local, abra Usuários e Computadores do Active Directory com uma conta que tenha as permissões de administrador de domínio apropriadas.
2. No menu Exibir , verifique se os recursos avançados estão ativados.
3. No painel esquerdo, clique com o botão direito do mouse no objeto que representa a raiz do domínio e selecione Properties>Security>Advanced.
4. Na guia Permissões , selecione Adicionar.
5. Para Principal, selecione a conta à qual as permissões devem ser aplicadas (a conta que Microsoft Entra Connect usa).
6. Na lista suspensa Aplica-se a, selecione Objetos de Usuário Descendente.
7. Em Permissões, selecione a caixa para Redefinir senha.
8. Em Propriedades, selecione as caixas para as opções a seguir. Role a lista para encontrar essas opções, que podem já estar definidas por padrão:

• Escrever o tempo de bloqueio

• Gravar pwdLastSet

  

1. Quando estiver pronto, selecione Aplicar/OK para aplicar as alterações.
2. Na guia Permissões , selecione Adicionar.
3. Para Principal, selecione a conta à qual as permissões devem ser aplicadas (a conta que Microsoft Entra Connect usa).
4. Na lista suspensa Aplica-se a, selecione Este objeto e todos os descendentes
5. Em Permissões, selecione a caixa para a seguinte opção:
   • Não permitir expiração de senha
6. Quando estiver pronto, selecione Aplicar/OK para aplicar as alterações e sair de todas as caixas de diálogo abertas.

Quando você atualizar as permissões, poderá levar até uma hora ou mais para que essas permissões sejam replicadas em todos os objetos no diretório.

As políticas de senha no ambiente local do AD DS podem impedir que as redefinições de senha sejam processadas corretamente. Para que o write-back de senha funcione com mais eficiência, a política de grupo para a idade mínima da senha deve ser definida como 0. Você pode encontrar essa configuração em Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies em gpmc.msc.

Se você atualizar a política de grupo, aguarde até que a política atualizada replique ou use o gpupdate /force comando.

Habilitar a reversão de senha no Microsoft Entra Connect

Uma das opções de configuração no Microsoft Entra Connect é para o write-back de senha. Quando essa opção é habilitada, os eventos de alteração de senha fazem o Microsoft Entra Connect sincronizar as credenciais atualizadas de volta para o ambiente local do AD DS.

Para habilitar a escrita de retorno do SSPR, primeiro ative a opção de escrita de retorno no Microsoft Entra Connect. Em seu servidor do Microsoft Entra Connect, conclua as seguintes etapas:

1. Entre no servidor do Microsoft Entra Connect e inicie o assistente de configuração do Microsoft Entra Connect .
2. Na página Bem-vindo , selecione Configurar.
3. Na página Tarefas Adicionais , selecione Personalizar opções de sincronização e selecioneAvançar.
4. Na página Conectar para Microsoft Entra ID, insira uma credencial de Administrador Híbrido para seu locatário Azure e selecione Next.
5. Nas páginas de filtragem Conectar diretórios e Domínio/OU, selecione Próximo.
6. Na página Recursos opcionais, selecione a caixa ao lado de reescrita de senha e selecione Avançar.
7. Na página extensões do Diretório , selecione Avançar.
8. Na página Pronto para configurar , selecione Configurar e aguarde a conclusão do processo.
9. Quando você vir a configuração ser concluída, selecione Sair.

Habilitar a devolução de senha para o SSPR

Com o write-back de senha habilitado no Microsoft Entra Connect, você agora pode configurar o Microsoft Entra SSPR para write-back. Você pode configurar o SSPR para gravação de volta por meio dos agentes do Microsoft Entra Connect Sync e dos agentes de provisionamento do Microsoft Entra Connect (sincronização na nuvem). Quando você habilita o SSPR para usar o write-back de senha, a senha atualizada dos usuários que alteram ou redefinem as respectivas senhas é sincronizada novamente para o ambiente local do AD DS.

Para habilitar o write-back de senha no SSPR, conclua as seguintes etapas:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.
2. Navegue até Entra ID>redefinição de senha e, em seguida, escolha integração local.
3. Selecione a opção Gravar senhas de volta no diretório local.
4. (opcional) Se os agentes de provisionamento do Microsoft Entra Connect forem detectados, você também poderá verificar a opção de write-back de senhas com a sincronização de nuvem do Microsoft Entra Connect.
5. Defina a opção para permitir que os usuários desbloqueiem contas sem redefinir sua senha para Sim.
6. Quando estiver pronto, selecione Salvar.

Limpar os recursos

Caso não deseje mais usar a funcionalidade de write-back do SSPR configurada como parte deste tutorial, conclua as seguintes etapas:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.
2. Navegue até Entra ID>redefinição de senha e, em seguida, escolha integração local.
3. Desmarque a opção de Fazer write-back de senhas em seu diretório local.
4. Desmarque a opção de gravar senhas de volta com a sincronização de nuvem do Microsoft Entra Connect.
5. Desmarque a opção para permitir que os usuários desbloqueiem contas sem redefinir a senha.
6. Quando estiver pronto, selecione Salvar.

Caso não queira mais usar a sincronização na nuvem do Microsoft Entra Connect para a funcionalidade de write-back do SSPR, mas queira continuar usando o agente de sincronização do Microsoft Entra Connect para write-backs, conclua as seguintes etapas:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Identidade Híbrida.
2. Navegue até Entra ID>redefinição de senha e, em seguida, escolha integração local.
3. Desmarque a opção de gravar senhas de volta com a sincronização de nuvem do Microsoft Entra Connect.
4. Quando estiver pronto, selecione Salvar.

Se você não quiser mais usar nenhuma funcionalidade de senha, conclua as seguintes etapas do seu servidor do Microsoft Entra Connect:

1. Entre no servidor do Microsoft Entra Connect e inicie o assistente de configuração do Microsoft Entra Connect .
2. Na página Bem-vindo , selecione Configurar.
3. Na página Tarefas Adicionais , selecione Personalizar opções de sincronização e selecioneAvançar.
4. Na página Conectar para Microsoft Entra ID, insira uma credencial de Administrador Híbrido e selecione Next.
5. Nas páginas de filtragem Conectar diretórios e Domínio/OU, selecione Próximo.
6. Na página Recursos opcionais, desmarque a caixa ao lado de reversão de senha e selecione Avançar.
7. Na página Pronto para configurar , selecione Configurar e aguarde a conclusão do processo.
8. Quando você vir a configuração ser concluída, selecione Sair.

Próximas etapas

Neste tutorial, você habilitou o write-back do Microsoft Entra SSPR para um ambiente do AD DS local. Você aprendeu a: