Die Rotation des Admin-Passworts ändert das Passwort eines lokalen Administratorkontos nach einem festen Zeitplan und speichert jedes neue Passwort sicher. Verwenden Sie es, damit ein einzelnes Admin-Passwort nicht über Geräte hinweg oder über Monate hinweg wiederverwendet werden kann.
Funktion/Feature
Übersicht
Die Steuerung ist auf macOS und Windows verfügbar:
| macOS | Windows | Linux | iOS / iPadOS | Android |
|---|---|---|---|---|
| ✅ | ✅ |
Überprüfen Sie vor der Einrichtung zwei Dinge:
- macOS benötigt einen zweiten Admin mit einem SecureToken. Auf einem Mac kann nur ein Admin, der einen SecureToken besitzt, das Passwort eines anderen Kontos ändern. Das Passwort dieses Admins muss ebenfalls in Factorial IT gespeichert sein. Das Konto, das durch die Admin-Verwaltung erstellt wurde, erhält seinen SecureToken beim ersten Login. Der Artikel zu den SecureToken-Regeln behandelt dies im Detail.
- Das generierte Passwort muss Ihre Passwort-Richtlinie erfüllen. Vergleichen Sie die Passwortanforderungen, die Sie wählen, mit Ihrer Passwort-Richtlinie. Wenn das neue Passwort die Richtlinie verletzt, wird es vom Gerät abgelehnt.
So verwenden Sie es
- Gehen Sie zu MDM > Steuerungen > Neue Steuerung hinzufügen und wählen Sie Admin-Passwortrotation.
- Geben Sie in Passwörter für alle übereinstimmenden Konten rotieren den Benutzernamen des lokalen Administratorkontos ein, das Sie rotieren möchten, z. B.
admin-it. Groß- und Kleinschreibung werden gleich behandelt. - Wählen Sie, wie oft das Passwort geändert wird: Jeden Monat, Alle 2 Monate, Alle 3 Monate oder Alle 6 Monate.
- Wählen Sie die Passwortanforderungen, die festlegen, wie stark jedes neue Passwort ist:
| Option | Generiertes Passwort |
|---|---|
| Mindestens 8 Zeichen | 8 Zeichen mit einem Buchstaben, einer Zahl und einem Sonderzeichen |
| Mindestens 10 Zeichen | 10 Zeichen mit einem Buchstaben, einer Zahl und einem Sonderzeichen |
| Mindestens 12 Zeichen | 12 Zeichen mit einem Buchstaben, einer Zahl und einem Sonderzeichen |
| Mindestens 20 Zeichen | 20 Zeichen mit einem Buchstaben, einer Zahl und einem Sonderzeichen |
| Mindestens 20 Zeichen, keine Zusammensetzungsanforderung | 20 Buchstaben und Zahlen, kein Sonderzeichen |
- Wählen Sie die Zielgruppe: alle Geräte, bestimmte Gerätegruppen oder ein benutzerdefiniertes Ziel.
Wie die Rotation funktioniert
Factorial IT ändert das Passwort jedes lokalen Administratorkontos auf dem Gerät, dessen Benutzername mit der Steuerung übereinstimmt. Standardkonten und nicht-lokale Konten bleiben unberührt.
- Erste Rotation. Der Zeitraum beginnt ab dem Datum, an dem das Konto erstellt wurde, oder dem Datum, an dem das Passwort zuletzt geändert wurde. Sobald dieser Zeitraum vorbei ist, erstellt Factorial IT ein neues Passwort, setzt es auf dem Gerät und behält eine verschlüsselte Kopie in der Factorial IT-Konsole.
- Konten, die nicht von Factorial IT erstellt wurden. Wenn das Konto bereits auf dem Gerät war, hat Factorial IT kein Protokoll seines Passworts. Es wird beim nächsten Sync ein neues gesetzt und folgt dann dem normalen Zeitplan. Das alte Passwort wird ersetzt.
- Mehr als eine Steuerung auf demselben Gerät. Wenn mehrere Rotationssteuerungen auf ein Gerät abzielen, erhält das Gerät den kürzesten Zeitraum und die stärksten Passwortanforderungen unter ihnen.
Um das aktuelle Passwort anzuzeigen, öffnen Sie das Gerät, gehen Sie zum Benutzer-Tab und klicken Sie auf Aktionen > Passwort anzeigen auf der Kontokarte.
Compliance-Status
Jedes Gerät erhält ein Ergebnis für die Regel zur Admin-Passwortrotation:
| Ergebnis | Bedeutung |
|---|---|
| Konform | Das Passwort wurde innerhalb des konfigurierten Zeitraums geändert. |
| Konform, kein Konto zum Rotieren | Kein lokales Admin-Konto auf dem Gerät hat den Benutzernamen in der Steuerung. Überprüfen Sie den Benutzernamen oder erstellen Sie das Konto mit der Admin-Verwaltung. |
| Ausstehend | Ein neues Passwort wurde gesendet und das Gerät hat es noch nicht angewendet. |
| Fehler, Konto nicht von Factorial IT erstellt | Factorial IT hat das Passwort dieses Kontos noch nicht. Es wird beim nächsten Sync ersetzt. |
| Fehler, kein SecureToken-Admin (macOS) | Factorial IT kann das Passwort nicht ändern, weil kein anderer Admin auf dem Mac einen SecureToken und ein Passwort in Factorial IT gespeichert hat. |
| Fehler, Rotation überfällig | Der Zeitraum ist vergangen und das Passwort wurde nicht geändert. |
Steuerung bearbeiten oder ausschalten
Öffnen Sie die Steuerung von MDM > Steuerungen, um sie zu ändern oder auszuschalten. Das Ausschalten stoppt zukünftige Rotationen. Das derzeit auf dem Gerät befindliche Passwort bleibt wie es ist.
Tipps und Best Practices
- Setzen Sie das Admin-Konto zuerst mit der Admin-Verwaltung ein. Factorial IT kennt dann das Passwort von Anfang an, und das Konto zeigt nicht den Fehler "nicht erstellt von Factorial IT".
- Bei Macs einmal mit dem verwalteten Admin-Konto einloggen. Dieser erste Login gibt ihm den SecureToken, auf den die Rotation angewiesen ist.
- Stellen Sie sicher, dass die Passwortanforderungen mit Ihrer Passwort-Richtlinie übereinstimmen, bevor Sie speichern. Eine Nichtübereinstimmung bedeutet, dass jede Rotation vom Gerät abgelehnt wird.
- Verwenden Sie, wo möglich, eine Steuerung pro Admin-Benutzernamen. Wenn Steuerungen sich überschneiden, gewinnt der kürzeste Zeitraum und die stärksten Anforderungen, was strenger sein kann, als Sie beabsichtigt haben.
Fehlerbehebung und FAQ
Fehlerbehebung
- Das Gerät zeigt "Konform, kein Konto zum Rotieren". Kein lokaler Admin auf dem Gerät stimmt mit dem Benutzernamen überein. Überprüfen Sie die Schreibweise in der Steuerung oder erstellen Sie das Konto mit der Admin-Verwaltung.
- Ein Mac zeigt "Fehler, kein SecureToken-Admin". Kein anderer Admin auf diesem Mac hat sowohl einen SecureToken als auch ein Passwort, das in Factorial IT gespeichert ist. Stellen Sie sicher, dass das verwaltete Admin-Konto existiert und mindestens einmal angemeldet wurde.
- Das Gerät zeigt "Fehler, Konto nicht von Factorial IT erstellt". Das Konto existierte bereits vor der Steuerung. Factorial IT ersetzt sein Passwort beim nächsten Sync, nach dem der Status aktualisiert wird.
- Der Status bleibt auf "Ausstehend". Das neue Passwort wurde gesendet, aber das Gerät hat es noch nicht angewendet. Überprüfen Sie, ob das Gerät online ist und synchronisiert.
- Das Gerät lehnt das neue Passwort ständig ab. Die Passwortanforderungen in der Steuerung stimmen wahrscheinlich nicht mit Ihrer Passwort-Richtlinie überein. Bringen Sie die beiden in Einklang.
FAQ
-
Wo finde ich das aktuelle Admin-Passwort?
Öffnen Sie das Gerät, gehen Sie zum Benutzer-Tab und klicken Sie auf Aktionen > Passwort anzeigen auf der Kontokarte.
-
Werden Standardbenutzerkonten rotiert?
Nein. Nur lokale Administratorkonten, deren Benutzername mit der Steuerung übereinstimmt, werden rotiert.
-
Was passiert mit einem Admin-Konto, das bereits auf dem Gerät war?
Sein Passwort wird beim nächsten Sync überschrieben. Von da an folgt es dem Rotationszeitplan.
-
Wenn ich die Steuerung ausschalte, ändert sich das Passwort zurück?
Nein. Die Rotation stoppt und das letzte Passwort bleibt auf dem Gerät.
-
Was passiert, wenn zwei Steuerungen dasselbe Gerät anvisieren?
Das Gerät verwendet den kürzesten Zeitraum und die stärksten Passwortanforderungen dieser Steuerungen.