Задача помощи конечным пользователям в затруднительных ситуациях лежит тяжелым грузом на ИТ-подразделениях крупных и растущих компаний. По некоторым оценкам, каждый случай сброса пароля может обходиться в 70 долл. (учитывая потери рабочего времени), а такие происшествия становятся причиной приблизительно 30% обращений в службу технической поддержки. Еще более высокими могут быть затраты в отраслях, где действует особое законодательство, например, в банковской сфере.
Почему пользователи забывают свои пароли для доступа к системе?
Причин может быть несколько:
- Множество паролей, которые необходимо запоминать. У каждого пользователя насчитывается в среднем около десятка сервисов и приложений, каждый из которых требует входа по паролю. Часто пользователь просто теряется в этих паролях и вводит не тот.
- Периодическая смена паролей. В организациях со строгой парольной политикой пароли имеют определенный срок действия. И по истечении определенного срока пароль должен быть изменен. Пользователь забывает сменить пароль и ему автоматически устанавливается случайный. Или же он меняет пароль, но еще не привыкает к нему и путается, вводя не тот.
- Внедрение строгой политики паролей. Сложный пароль проще забыть.
Но мы ведем речь не о причинах, которые понятны любому специалисту, а о том, как в подобных ситуациях можно упростить жизнь в первую очередь администраторам и службе Help Desk. Сбросить пароль недолго (см. примеры), но если таких заявок в службу технической поддержки поступает много, на их обработку отвлекаются большие ресурсы (тратится время). Пользователи, понятное дело, не могут работать в то время, когда у них нет доступа в систему. Общая эффективность работы снижается.
В среде Active Directory администрирование паролей пользователей включает в себя множество задач, таких как усиление требований к безопасности паролей через групповые политики, деятельности службы Help Desk и множественная конфигурация опций по управлению учетными записями пользователей. Часто эти операции децентрализованы и владельцы учетных записей остаются в стороне от управления своими учетными записями.
Здесь на помощь приходят диспетчеры самостоятельного сброса паролей (см. обзор на osp.ru). Они предназначены для того, чтобы частично переместить задачи по управлению паролями со службы технической поддержки на самих пользователей. Спасение утопающих дело рук самих утопающих.
Мы не будем подробно останавливаться на сути этой группы продуктов (см. ссылку на обзор выше), а расскажем о нашем решении для самостоятельного управления паролями пользователей в AD — NetWrix Password Manager. Программа существует в двух версиях: базовой бесплатной (до 50 пользователей) и расширенной коммерческой.
Она упрощает работу сразу трех категорий сотрудников компании:
- Пользователи могут самостоятельно менять пароли и не ждать, пока до них дойдет очередь в службе технической поддержки;
- Операторы Help Desk не тратят свое время (как мы уже писали выше – до 30% своего времени) на решение таких проблем. Они могут сосредоточиться на более важном. Достигается оптимизация работы персонала;
- Администраторы могут внедрять более строгую парольную политику и получать детализированные отчеты по изменениям паролей.
Чтобы этого достичь, выделяется три роли:
- Конечные пользователи
- Операторы службы Help Desk
- Администраторы
Применяя эти роли к группам и отдельным пользователям, администраторы могут контролировать доступ к управлению паролями.
Ключевые функции продукта и описание
NetWrix Password Manager помогает снизить загрузку службы Help Desk и администраторов, так как:
- Пользователям предоставляется доступ к веб-порталу, на котором можно совершать базовые действия с паролями;
- Специалисты службы Help Desk могут управлять учетными записями пользователей и получать отчеты по статусу их состояния через веб-интерфейс;
- Администраторы могут внедрять более строгие требования к паролям.
Архитектура продукта
NetWrix Password Manager состоит из следующих компонентов:
1. Веб-приложение: включает в себя три веб-портала, которые обеспечивают функциональность программы;
- Административный портал: позволяет изменять настройки программы, в том числе контролируемые домены, политики вопросов и доступные для пользователей опции, а так же производить массовую регистрацию пользователей в• системе.
- Help-Desk портал: предназначен для централизованного управления и получения отчетов по зарегистрированным (enrolled) учетным записям;
- Пользовательский портал: веб-интерфейс для пользователей, предназначенный для самостоятельного управления паролями.
2. Core Password Manager Service: выполняет операции, затребованные через веб-порталы;
3. Password Manager Client (расширение на экране входа Windows): расширяет функциональность стандартного диалога входа в систему и позволяет пользователям осуществить операции по сбросу и смене пароля, а также самостоятельной разблокировке учетной записи. Клиент поддерживает мастер регистрации (enrollment wizard).
Продукт устанавливается с настройками по умолчанию (такими, как настройки безопасности пароля, доступные для пользователей опции, политики вопросов верификации и т.п). Изменить их можно через административный портал.
А теперь подробнее про порталы.
Работа с программой, как уже было обозначено выше, осуществляется тремя категориями пользователей. Для каждого из них имеется свой портал.
Административный портал (Administrative portal)
Доступ к порталу можно получить с любого компьютера по URL (задается в процессе настройки программы).
Настройки программы задаются как раз через этот портал. Администратор при работе с программой может:
- Добавить, удалить или изменить список наблюдаемых доменов;
- Настроить следующее:
- Брендинг (лого, контакты)
- Опции пользователя (варианты управления паролями, доступные для пользователей)
- Задаваемые вопросы (набор вопросов, используемых для верификации). Если Вы бы хотели спрашивать у пользователей не девичью фамилию матери, а что-нибудь другое, то воспользуйтесь этой функцией.
- Политика вопросов (длина вопроса и ответа, минимальное число вопросов, требуемых для верификации)
- Политика паролей (длина пароля)
- Оповещения (на какие события реагировать и кому отправлять оповещения о них)
- Присвоить роли пользователям и группам (Администраторы / Операторы Help Desk / Пользователи)
- Осуществить массовую регистрацию пользователей в программе (batch enrollment) – импортирование информации об учетных записях из .csv файла
Пользовательский портал (Self-service portal)
На пользовательском портале выполняются четыре базовых действия:
- Регистрация в NetWrix Password Manager
- Сброс пароля
- Изменение пароля
- Разблокировка учетной записи
Регистрация пользователей в NetWrix Password Manager может осуществляться как вручную (пользователь отвечает на своем компьютере или на пользовательском портале на вопросы), так и посредством операции массовой регистрации (batch enrollment), которая осуществляется администратором.
Через Password Management Client
После того, как программа установлена компонент Password Management Client добавляется в автозагрузку. При этом у пользователя при следующем входе в систему появится следующее окно:
Последовательность действий для пользователя довольно-таки очевидна: выбрать вопрос и дать на него ответ. Вопросов, естественно, может быть несколько. Также, если это не запрещено политикой, пользователь может придумать свой собственный вопрос (такая настройка осуществляется на Administrative Portal).
Через Пользовательский портал (Self-service portal)
Открываем портал (Start > All Programs > NetWrix > Password Manager > Self-Service Portal).
Обратите внимание на то, что данный портал доступен на русском языке.
Выбираем Регистрация.
Пользователь выбирает вопросы и дает на них ответы.
Зарегистрировавшиеся в системе пользователи смогут выполнять следующие действия:
- Сбрасывать пароль
- Осуществлять смену пароля
- Разблокировать свои учетные записи
Сброс пароля
Сброс пароля осуществляется пользователями и операторами Help Desk в том случае, если пользователь не может получить доступ к пользовательскому порталу или расширению на экране входа в Windows.
Обратите внимание, что уникальной возможностью нашей программы является сброс пароля через клиент при отсутствии соединения с сервером.
Приведем цитату из обзора выше:
“Уникальная возможность NetWrix Password Manager — сброс пароля в режиме без подключения. В этом случае активизируется расширение GINA на экране регистрации Windows для сброса кэшированного пароля пользователя, даже если тот не подключен к домену. Это может быть очень удобно для компаний с большим количеством мобильных пользователей, но требует локальной установки расширения GINA”.
Сброс пароля пользователем:
Для того чтобы сменить пароль, пользователь проходит несколько шагов:
- Открывает портал.
- Выбирает Сброс в секции Сброс.
- Вводит имя пользователя и домена.
- Отвечает на вопросы, выбранные при процедуре регистрации.
- После правильного ответа на вопрос(ы) пользователь вводит новый пароль и его подтверждение.
В итоге пароль будет изменен.
Обратите внимание, что с помощью программы пользователь также сможет разблокировать свою учетную запись (например, в том случае, если ввод неправильного пароля несколько раз подряд привел к ее блокировке). И опять-таки все это делается самостоятельно, без привлечения операторов Help Desk.
Сброс пароля через расширение входа в Windows:
- Выйдите из системы
- Нажмите кнопку “Не можете войти?”
- Появляется Logon Assistance Wizard
- Введите доменимя пользователя и нажмите Next
- Введите новый пароль и его подтверждение
- Если Ваш аккаунт был заблокирован, то выберите Unlock Account
- Если Вы хотите, чтобы срок действия пароля не истекал, выберите Password never expires
- Введите ответы на вопросы. Пароль будет изменен.
Сброс пароля через Help Desk портал (выполняется оператором Help Desk)
- Откройте Help Desk портал (Start > All Programs > NetWrix > Password Manager > Help-Desk Portal)
- Выберите пользователя, которому необходимо сменить пароль
- При выборе пункта Unlock или Reset Password появляется страница User Identity Verification, на которой отображаются вопросы, выбранные пользователем при регистрации и ответы на них. При этом отображается только первая и последняя буква ответа. Пользователь сообщает их (первую и последнюю букву) Help Desk оператору, а он в свою очередь осуществляет сброс пароля.
- Назначьте новый пароль для пользователя.
- Пароль будет сброшен.
Контроль со стороны администраторов
Для того чтобы администраторы могли контролировать все изменения паролей, в программе имеются отчеты и уведомления.
- Уведомления могут быть включены на следующие события:
- Регистрация учетной записи в Password Manager.
- Сброс пароля.
- Разблокировка учетной записи.
- Изменение пароля.
- Неудачная попытка верификации .
Доступно два типа отчетов:
- User Activity показывает все действия пользователей, связанные с паролями (Регистрация, Изменение, Сброс, Разблокировка учетной записи) за определенный период времени. В отчете отображается результат и время.
- User Enrollment отображает состояние регистрации (зарегистрирован в базе NetWrix Password Manager или нет) для всех пользователей в наблюдаемом домене.
Ознакомиться с программой можно на нашем сайте. Обращаем еще раз ваше внимание на то, что версия на 50 пользователей доступна бесплатно.
Посмотреть запись вебинара, посвященного использованию программы (вместе с другими решениями для управления блокировками), можно здесь.
P.S. О работе бесплатной версии программы мы будем рассказывать 19 декабря на вебинаре «10 бесплатных инструментов для контроля ИТ-инфраструктуры», наряду с другими бесплатными программами NetWrix.
Автор: NetWrixRU
