La rotation du mot de passe administrateur change le mot de passe d'un compte administrateur local selon un calendrier fixe et conserve chaque nouveau mot de passe stocké de manière sécurisée. Utilisez-le pour qu'un seul mot de passe administrateur ne puisse pas être réutilisé sur plusieurs appareils ou pendant des mois.
Fonctionnalité
Aperçu
Le contrôle est disponible sur macOS et Windows :
| macOS | Windows | Linux | iOS / iPadOS | Android |
|---|---|---|---|---|
| ✅ | ✅ |
Vérifiez deux choses avant de le configurer :
- macOS nécessite un deuxième administrateur avec un SecureToken. Sur un Mac, seul un administrateur détenant un SecureToken peut changer le mot de passe d'un autre compte. Le mot de passe de cet administrateur doit également être stocké dans Factorial IT. Le compte créé via la gestion des administrateurs obtient son SecureToken la première fois que quelqu'un se connecte avec. L'article sur les règles de SecureToken couvre cela en détail.
- Le mot de passe généré doit respecter votre politique de mot de passe. Comparez les Exigences de mot de passe que vous choisissez avec votre politique de mot de passe. Si le nouveau mot de passe enfreint la politique, l'appareil le rejette.
Comment utiliser
- Allez dans MDM > Contrôles > Ajouter un nouveau contrôle et choisissez Rotation du mot de passe administrateur.
- Dans Faire tourner les mots de passe pour tous les comptes correspondants, tapez le nom d'utilisateur du compte administrateur local que vous souhaitez faire tourner, par exemple
admin-it. Les majuscules et minuscules sont traitées de la même manière. - Choisissez la fréquence à laquelle le mot de passe change : Tous les mois, Tous les 2 mois, Tous les 3 mois ou Tous les 6 mois.
- Choisissez les Exigences de mot de passe, qui définissent la force de chaque nouveau mot de passe :
| Option | Mot de passe généré |
|---|---|
| Minimum 8 caractères | 8 caractères avec une lettre, un chiffre et un caractère spécial |
| Minimum 10 caractères | 10 caractères avec une lettre, un chiffre et un caractère spécial |
| Minimum 12 caractères | 12 caractères avec une lettre, un chiffre et un caractère spécial |
| Minimum 20 caractères | 20 caractères avec une lettre, un chiffre et un caractère spécial |
| Minimum 20 caractères, sans exigence de composition | 20 lettres et chiffres, sans caractère spécial |
- Choisissez la cible : tous les appareils, groupes d'appareils spécifiques ou une cible personnalisée.
Comment fonctionne la rotation
Factorial IT change le mot de passe de chaque compte administrateur local sur l'appareil dont le nom d'utilisateur correspond au contrôle. Les comptes standard et les comptes non locaux sont laissés tels quels.
- Première rotation. L'intervalle commence à partir de la date de création du compte ou de la date à laquelle son mot de passe a été changé pour la dernière fois. Une fois cet intervalle terminé, Factorial IT crée un nouveau mot de passe, le définit sur l'appareil et conserve une copie cryptée dans la console Factorial IT.
- Comptes que Factorial IT n'a pas créés. Si le compte était déjà sur l'appareil, Factorial IT n'a pas d'enregistrement de son mot de passe. Il définit un nouveau mot de passe lors de la prochaine synchronisation, puis suit le calendrier normal. L'ancien mot de passe est remplacé.
- Plus d'un contrôle sur le même appareil. Si plusieurs contrôles de rotation ciblent un appareil, celui-ci obtient le plus court intervalle et les exigences de mot de passe les plus strictes parmi eux.
Pour voir le mot de passe actuel, ouvrez l'appareil, allez dans l'onglet Utilisateurs et cliquez sur Actions > Afficher le mot de passe sur la carte du compte.
Statuts de conformité
Chaque appareil obtient un résultat pour la règle de conformité Rotation du mot de passe administrateur :
| Résultat | Signification |
|---|---|
| Conforme | Le mot de passe a changé dans l'intervalle configuré. |
| Conforme, aucun compte à faire tourner | Aucun compte administrateur local sur l'appareil n'a le nom d'utilisateur dans le contrôle. Vérifiez le nom d'utilisateur, ou créez le compte avec la gestion des administrateurs. |
| En attente | Un nouveau mot de passe a été envoyé et l'appareil ne l'a pas encore appliqué. |
| Erreur, compte non créé par Factorial IT | Factorial IT n'a pas encore le mot de passe de ce compte. Il sera remplacé lors de la prochaine synchronisation. |
| Erreur, pas d'administrateur SecureToken (macOS) | Factorial IT ne peut pas changer le mot de passe, car aucun autre administrateur sur le Mac n'a de SecureToken et un mot de passe stocké dans Factorial IT. |
| Erreur, rotation en retard | L'intervalle est passé et le mot de passe n'a pas été changé. |
Modifier ou désactiver le contrôle
Ouvrez le contrôle depuis MDM > Contrôles pour le modifier ou le désactiver. Le désactiver arrête les rotations futures. Le mot de passe actuellement sur l'appareil reste tel quel.
Conseils et meilleures pratiques
- Déployez d'abord le compte administrateur avec la gestion des administrateurs. Factorial IT saura ainsi le mot de passe dès le départ, et le compte ne montrera pas l'erreur "non créé par Factorial IT".
- Sur les Macs, connectez-vous une fois avec le compte administrateur géré. Cette première connexion est ce qui lui donne le SecureToken sur lequel la rotation repose.
- Faites correspondre les exigences de mot de passe à votre politique de mot de passe avant de sauvegarder. Un désaccord signifie que chaque rotation est refusée par l'appareil.
- Utilisez un contrôle par nom d'utilisateur administrateur lorsque cela est possible. Si les contrôles se chevauchent, le plus court intervalle et les exigences les plus strictes l'emportent, ce qui peut être plus strict que prévu.
Dépannage et FAQ
Dépannage
- L'appareil affiche "Conforme, aucun compte à faire tourner". Aucun administrateur local sur l'appareil ne correspond au nom d'utilisateur. Vérifiez l'orthographe dans le contrôle, ou créez le compte avec la gestion des administrateurs.
- Un Mac affiche "Erreur, pas d'administrateur SecureToken". Aucun autre administrateur sur ce Mac n'a à la fois un SecureToken et un mot de passe stocké dans Factorial IT. Assurez-vous que le compte administrateur géré existe et a été connecté au moins une fois.
- L'appareil affiche "Erreur, compte non créé par Factorial IT". Le compte existait avant le contrôle. Factorial IT remplace son mot de passe lors de la prochaine synchronisation, après quoi le statut se met à jour.
- Le statut reste sur "En attente". Le nouveau mot de passe a été envoyé mais l'appareil ne l'a pas appliqué. Vérifiez que l'appareil est en ligne et synchronisé.
- L'appareil continue de rejeter le nouveau mot de passe. Les exigences de mot de passe dans le contrôle sont probablement en conflit avec votre politique de mot de passe. Alignez les deux.
FAQ
-
Où puis-je trouver le mot de passe administrateur actuel ?
Ouvrez l'appareil, allez dans l'onglet Utilisateurs et cliquez sur Actions > Afficher le mot de passe sur la carte du compte.
-
Les comptes d'utilisateur standard sont-ils tournés ?
Non. Seuls les comptes administrateurs locaux dont le nom d'utilisateur correspond au contrôle sont tournés.
-
Que se passe-t-il pour un compte administrateur qui était déjà sur l'appareil ?
Son mot de passe est écrasé lors de la prochaine synchronisation. À partir de ce moment, il suit le calendrier de rotation.
-
Si je désactive le contrôle, le mot de passe revient-il en arrière ?
Non. La rotation s'arrête et le dernier mot de passe reste sur l'appareil.
-
Que se passe-t-il si deux contrôles ciblent le même appareil ?
L'appareil utilise le plus court intervalle et les exigences de mot de passe les plus strictes parmi ces contrôles.