Citrix ADC

查看PDF

自助密码重置

2020年12月16日

由:

C 年代

自助密码重置是一种基于web的密码管理解决方案。它可以在Citrix ADC设备和Citrix Gateway的认证、授权和审计特性中使用。它消除了用户在修改密码时对管理员协助的依赖。

自助密码重置为终端用户提供在以下场景下安全重置或创建密码的能力:

用户忘记密码。
用户无法登录。

到目前为止，如果最终用户忘记了AD密码，则必须联系AD管理员重置密码。具有自助密码重置功能，终端用户无需管理员干预即可重置密码。

以下是使用自助密码重置的一些好处:

通过自动密码更改机制提高工作效率，消除了用户等待密码重置的前置时间。
有了密码自动修改机制，管理员可以专注于其他关键任务。

自助密码重置流程如下图所示。

局部的图片

用户需要在Citrix认证、授权、审计或Citrix网关虚拟服务器上进行注册，才能使用自助密码重置功能。

自助密码重置功能包括:

新用户self-registration。您可以自行注册为新用户。
配置知识的问题。作为管理员，您可以为用户配置一组问题。
备用电子邮件ID注册。您必须在注册时提供一个备用的电子邮件ID。由于用户忘记了主邮箱ID的密码，OTP被发送到备用邮箱ID。

注意:从12.1版本构建51开始。xx，备用电子邮件ID注册可以独立完成。一个新的Loginschema,AltEmailRegister.xml只做备用电子邮件ID注册。在此之前，只有在办理KBA注册时才能办理替代邮箱ID注册。
重置忘记密码。用户可以通过回答知识问答的方式重置密码。作为管理员，您可以配置和存储问题。

自助密码重置提供了以下两种新的认证机制:

基于知识的问答。在选择基于知识的问答模式之前，您必须向Citrix认证、授权和审计或Citrix Gateway注册。
电子邮件OTP身份验证。用户在自助密码重置注册时注册的备用邮箱ID会收到一封OTP。

请注意

这些身份验证机制可以用于自助密码重置用例，以及类似于任何现有身份验证机制的任何身份验证目的。

先决条件

在配置自助密码重置前，请注意以下前提条件:

Citrix ADC特性发布版12.1，构建版50.28。
AD域功能级别支持2016、2012、2008版本。
与Citrix ADC绑定的ldapBind用户名需要对用户AD路径具有写访问权限。

请注意

仅nFactor认证流程支持自助重置密码。有关更多信息，请参见通过Citrix ADC进行nFactor认证．

限制

以下是自助密码重置的一些限制:

只有认证后端为LDAP时，才支持自助密码重置。
用户无法看到已经注册的备用电子邮件ID。
基于知识的问答和电子邮件OTP认证和注册不能成为认证流程中的首要因素。
对于本机插件和接收器，只支持通过浏览器注册。
用于自助密码重置的最小证书大小为1024字节，必须遵循x.509标准。

活动目录设置

Citrix ADC知识问答、电子邮件OTP采用AD属性存储用户数据。必须配置AD属性以存储问题和答案以及备用电子邮件ID。Citrix ADC设备将其存储在AD用户对象中配置的KB属性中。在配置AD属性时，需要考虑以下几点:

长度至少为128个字符。
AD属性必须支持32k的最大长度。
属性类型必须是' DirectoryString '。
单一的AD属性可以用于基于知识的问答和替代电子邮件ID。
单个AD属性不能用于本机OTP和基于知识的问答或替代电子邮件ID注册。
Citrix ADC LDAP管理员必须具有对所选AD属性的写访问权限。

也可以使用已有的AD属性。但是，请确保您计划使用的属性没有用于其他情况。例如，userParameters是可以使用的AD用户中的一个现有属性。要验证该属性，请执行以下步骤:

导航到ADSI >选择用户．
右键单击并向下滚动到属性列表。
在CN = testuser属性窗口窗格，您可以看到userParameters属性未设置。

局部的图片