El canvi de contrasenya d'administrador rotativa canvia la contrasenya d'un compte d'administrador local en un horari fix i manté cada nova contrasenya emmagatzemada de manera segura. Utilitza-ho perquè una sola contrasenya d'administrador no pugui ser reutilitzada a través de dispositius o durant mesos sencers.
Funcionalitat
Visió general
El control està disponible a macOS i Windows:
| macOS | Windows | Linux | iOS / iPadOS | Android |
|---|---|---|---|---|
| ✅ | ✅ |
Comprova dues coses abans de configurar-ho:
- macOS necessita un segon administrador amb un SecureToken. En un Mac, només un administrador que tingui un SecureToken pot canviar la contrasenya d'un altre compte. La contrasenya d'aquest administrador també ha d'estar emmagatzemada a Factorial IT. El compte creat a través de la gestió d'Administradors obté el seu SecureToken la primera vegada que algú inicia sessió amb ell. L'article sobre les regles del SecureToken cobreix això en detall.
- La contrasenya generada ha de complir la teva política de contrasenyes. Compara els Requisits de contrasenya que esculls amb la teva política de contrasenyes. Si la nova contrasenya no compleix la política, el dispositiu la rebutja.
Com utilitzar
- Vés a MDM > Controls > Afegir nou control i tria Rotació de contrasenyes d'administrador.
- En Rotar contrasenyes per a tots els comptes que coincideixin, escriu el nom d'usuari del compte d'administrador local que vols rotar, per exemple
admin-it. Les majúscules i minúscules es tracten igual. - Tria amb quina freqüència canvia la contrasenya: Cada mes, Cada 2 mesos, Cada 3 mesos o Cada 6 mesos.
- Tria els Requisits de contrasenya, que establixen quina força té cada nova contrasenya:
| Opció | Contrasenya generada |
|---|---|
| Mínim 8 caràcters | 8 caràcters amb una lletra, un número i un caràcter especial |
| Mínim 10 caràcters | 10 caràcters amb una lletra, un número i un caràcter especial |
| Mínim 12 caràcters | 12 caràcters amb una lletra, un número i un caràcter especial |
| Mínim 20 caràcters | 20 caràcters amb una lletra, un número i un caràcter especial |
| Mínim 20 caràcters, sense requisit de composició | 20 lletres i números, sense caràcter especial |
- Tria el segment: tots els dispositius, grups de dispositius específics o un objectiu personalitzat.
Com funciona la rotació
Factorial IT canvia la contrasenya de cada compte d'administrador local al dispositiu el nom d'usuari del qual coincideix amb el control. Els comptes estàndard i els comptes no locals es deixen sense modificar.
- Primer rotació. L'interval comença des de la data en què es va crear el compte o la data en què es va canviar per última vegada la seva contrasenya. Un cop aquest interval ha acabat, Factorial IT crea una nova contrasenya, la configura al dispositiu i manté una còpia xifrada a la consola de Factorial IT.
- Comptes que Factorial IT no va crear. Si el compte ja estava al dispositiu, Factorial IT no té registre de la seva contrasenya. Estableix una nova a la propera sincronització i després segueix el calendari normal. La contrasenya antiga és reemplaçada.
- Més d'un control al mateix dispositiu. Si diversos controls de rotació apunten a un mateix dispositiu, el dispositiu obté l'interval més curt i els requisits de contrasenya més forts entre ells.
Per veure la contrasenya actual, obre el dispositiu, ves a la pestanya Usuaris i fes clic a Accions > Mostrar contrasenya a la targeta del compte.
Estats de compliment
Cada dispositiu obté un resultat per a la regla de compliment de Rotació de Contrasenyes d'Administrador:
| Resultat | Significat |
|---|---|
| Complert | La contrasenya va canviar dins de l'interval configurat. |
| Complert, sense compte per rotar | Cap compte d'administrador local al dispositiu té el nom d'usuari en el control. Comprova el nom d'usuari o crea el compte amb la gestió d'Administradors. |
| Pendent | Una nova contrasenya ha estat enviada i el dispositiu no l'ha aplicat encara. |
| Error, compte no creat per Factorial IT | Factorial IT no té encara la contrasenya d'aquest compte. Serà reemplaçada a la propera sincronització. |
| Error, sense administrador SecureToken (macOS) | Factorial IT no pot canviar la contrasenya, perquè cap altre administrador al Mac té un SecureToken i una contrasenya emmagatzemada a Factorial IT. |
| Error, rotació caducada | L'interval ha passat i la contrasenya no s'ha canviat. |
Edita o desactiva el control
Obre el control des de MDM > Controls per canviar-lo o desactivar-lo. Desactivar-ho atura les futures rotacions. La contrasenya actual al dispositiu es manté tal com està.
Consells i Millors Pràctiques
- Desplega primer el compte d'administrador amb la gestió d'Administradors. Factorial IT llavors coneix la contrasenya des del principi, i el compte no mostrarà l'error "no creat per Factorial IT".
- Als Macs, inicia sessió una vegada amb el compte d'administrador gestionat. Aquesta primera sessió és el que li dóna el SecureToken del qual depèn la rotació.
- Fes coincidir els requisits de contrasenya amb la teva política de contrasenyes abans de desar. Una discrepància significa que cada rotació és rebutjada pel dispositiu.
- Utilitza un control per nom d'usuari d'administrador on puguis. Si els controls es superposen, l'interval més curt i els requisits més forts guanyen, el que pot ser més estricte del que havies previst.
Resolució de problemes i FAQ
Resolució de problemes
- El dispositiu mostra "Complert, sense compte per rotar". Cap administrador local al dispositiu coincideix amb el nom d'usuari. Comprova l'ortografia al control o crea el compte amb la gestió d'Administradors.
- Un Mac mostra "Error, sense administrador SecureToken". Cap altre administrador en aquest Mac té tant un SecureToken com una contrasenya emmagatzemada a Factorial IT. Assegura't que el compte d'administrador gestionat existeix i s'ha iniciat sessió almenys una vegada.
- El dispositiu mostra "Error, compte no creat per Factorial IT". El compte existia abans del control. Factorial IT reemplaça la seva contrasenya a la propera sincronització, després de la qual l'estat s'actualitza.
- L'estat es manté en "Pendent". La nova contrasenya ha estat enviada però el dispositiu no l'ha aplicat. Comprova que el dispositiu estigui en línia i sincronitzant.
- El dispositiu segueix rebutjant la nova contrasenya. Els requisits de contrasenya al control probablement conflicten amb la teva política de contrasenyes. Alinea els dos.
FAQ
-
On puc trobar la contrasenya d'administrador actual?
Obre el dispositiu, ves a la pestanya Usuaris i fes clic a Accions > Mostrar contrasenya a la targeta del compte.
-
Es rotan els comptes d'usuari estàndard?
No. Només es rotan els comptes d'administrador locals el nom d'usuari dels quals coincideix amb el control.
-
Què passa amb un compte d'administrador que ja estava al dispositiu?
La seva contrasenya és sobreescrita a la propera sincronització. A partir d'aleshores segueix el calendari de rotació.
-
Si desactivo el control, la contrasenya torna a canviar?
No. La rotació s'atura i l'última contrasenya es manté al dispositiu.
-
Què passa si dos controls apunten al mateix dispositiu?
El dispositiu utilitza l'interval més curt i els requisits de contrasenya més forts d'aquests controls.