什麼是Azure AD自助式密碼重置（SSPR）

最好的Azure學習站點：Azure文檔中心 / Microsoft Learning

什麼是Azure AD自助式密碼重置（SSPR）

做爲IT運維人員常常會遇到的問題之一就是用戶帳戶問題，好比用戶帳戶到期、用戶帳戶鎖定以及用戶遺失了帳戶密碼。在傳統的運維場景中，面對這種問題管理員須要花費大量的時間來處理不一樣用戶的帳戶問題，從而致使IT的運營成本增長。而用戶也會抱怨整個處理過程的延遲問題，由於延遲會影響用戶的工做效率。那麼當咱們遷移到雲以後，是否有一種方法能夠優化上述問題的處理方式呢，答案確定是有的。在Azure中咱們可使用Azure AD自助式密碼重置（SSPR）來幫忙咱們解決上述問題

什麼是SSPR以及爲何使用SSPR

Azure AD自助式密碼重置使用戶可以在沒有管理員或支持人員干預的狀況下，自助完成密碼更改或重置，若是用戶帳戶被鎖定或者用戶忘記了本身的密碼，藉助 SSPR，用戶可在 Web 瀏覽器中或經過 Windows 登陸屏幕重置其密碼，從而再次有權訪問 Azure、Microsoft 365 以及使用 Azure AD 進行身份驗證的任何其餘應用程序。

更多關於Azure AD SSPR的信息你們能夠參考以下鏈接

https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-sspr-deployment?WT.mc_id=AZ-MVP-5002232

使用SSPR，用戶能夠在沒有管理員支持的狀況下自行解決帳戶和密碼問題，從而極大地減小了管理員的工做負擔，此外由於用戶無需等到管理員有空時機可完成密碼重置，因此它還最大程度的減小了忘記密碼或密碼過時對工做效率的影響。

對於使用Azure AD Premium P1或Azure AD Premium P2版本的Azure AD的企業，在配置了Azure AD Connect之後，能夠利用其回寫功能，將更改後的用戶密碼回寫到本地AD。

SSPR的工做原理

若用戶想使用SSPR進行密碼重置，則能夠直接訪問密碼重置門戶或選擇登陸頁面上的「沒法訪問帳戶」鏈接來啓動密碼重置，重置過程當中會執行如下步驟：

• 本地化：SSPR門戶會檢查用戶瀏覽器的區域設置，並以適當的語言呈現SSPR門戶頁面

• 驗證：用戶輸入其帳戶信息，從而確保時本人操做

• 身份驗證：用戶輸入所需數據進行身份驗證，例如PIN碼或回答安全問題

• 密碼重置：若是用戶經過身份驗證，則它們能夠輸入新密碼並進行確認

• 通知：密碼重置後，一般會向用戶發送消息來確認相關操做

SSPR的身份驗證方法

若是爲用戶啓用了SSPR，考慮到惡意用戶可能會利用系統中的任何弱點來模擬該用戶，因此用戶進行密碼更改時須要先驗證用戶的身份才容許其進行密碼更改，Azure 支持經過六種不一樣的方法對重置請求進行身份驗證。

管理員能夠選擇配置 SSPR 時要使用的方法。啓用這些方法中的兩種或多種，以便用戶能夠選擇便於其使用的方法。 方法有：

身份驗證方法	註冊方法	如何對密碼重置進行身份驗證
移動應用通知	將 Microsoft Authenticator 應用安裝在移動設備上，而後在多重身份驗證設置頁上註冊它。	Azure 會嚮應用程序發送通知，你能夠接受驗證或拒絕。
移動應用代碼	此方法還使用 Authenticator 應用，並以相同的方式安裝和註冊。	輸入應用中的代碼。
電子郵件	提供 Azure 和 Microsoft 365 外部的電子郵件地址。	Azure 會向該地址發送代碼，而後你在重置嚮導中輸入此代碼。
移動電話	提供移動電話號碼。	Azure 會向電話發送包含一條代碼的短信，你應在重置嚮導中輸入該代碼。 或者，能夠選擇獲取自動電話呼叫。
辦公電話	提供一個非移動電話號碼。	你會接收到自動撥打此號碼的電話呼叫，而後按 #。
安全性問題	選擇問題，好比「你母親在哪一個城市出生？」 並將回答保存下來。	回答問題。

注意：在免費版和試用版的 Azure AD 中，不支持電話呼叫選項。

身份驗證次數

除了前面提到的多種驗證方法之外，咱們也能夠設定用戶在進行SSPR時須要進行幾回身份驗證。能夠指定用戶必須設置的最小方法數：1 或 2。 例如，能夠啓用移動應用代碼、電子郵件、辦公電話和安全問題方法，並指定最少兩個方法。 而後，用戶能夠選擇他們喜歡的兩種方法，例如移動應用代碼和電子郵件。

如何使用SSPR

你們都知道，Azure AD包含三個版本，分別爲免費版、高級P1和高級P2。對因而否可以使用密碼重置的功能取決於咱們所使用的Azure AD版本

首先要和你們強調的是，無論 Azure AD 的版本是什麼，已登陸的用戶均可以更改其密碼。可是對於若是還沒有登陸，而且忘記了密碼，或者密碼已過時，則可使用 Azure AD Premium P1 或 P2 中的 SSPR。 它還可與 Microsoft 365 商業應用版或 Microsoft 365 一塊兒使用。 Azure AD 免費版不提供 SSPR。

在混合狀況下，若是有本地 Active Directory 和雲中 Azure AD，則必須將雲中的任何密碼更改寫回到本地目錄。 Azure AD Premium P1 或 P2 中提供了此寫回支持。 Microsoft 365 商業應用版也提供了此功能。

通過上面的介紹之後，相信不少小夥伴都對SSPR產生了濃厚的興趣，咱們接下來會和你們分享如何配置SSPR等相關操做。還請你們多多關注哈