A rotação da senha do admin altera a senha de uma conta de administrador local em um cronograma fixo e mantém cada nova senha armazenada de forma segura. Utilize-a para que uma única senha de administrador não possa ser reutilizada em dispositivos ou por meses a fio.
Funcionalidade
Visão Geral
O controle está disponível no macOS e Windows:
| macOS | Windows | Linux | iOS / iPadOS | Android |
|---|---|---|---|---|
| ✅ | ✅ |
Verifique duas coisas antes de configurá-lo:
- macOS precisa de um segundo admin com um SecureToken. Em um Mac, apenas um admin que possui um SecureToken pode alterar a senha de outra conta. A senha desse admin também deve ser armazenada no Factorial IT. A conta criada através da gestão de Admin recebe seu SecureToken na primeira vez que alguém faz login com ela. O artigo sobre as regras do SecureToken cobre isso em detalhes.
- A senha gerada deve passar pela sua política de senhas. Compare os Requisitos de senha que você escolher com sua política de senha. Se a nova senha quebrar a política, o dispositivo a rejeita.
Como usar
- Vá para MDM > Controles > Adicionar novo controle e escolha Rotação da senha do admin.
- Em Rotacionar senhas para todas as contas correspondentes, digite o nome de usuário da conta de administrador local que você deseja rotacionar, por exemplo
admin-it. Maiúsculas e minúsculas são tratadas da mesma forma. - Escolha com que frequência a senha muda: Todo mês, A cada 2 meses, A cada 3 meses ou A cada 6 meses.
- Escolha os Requisitos de senha, que definem quão forte cada nova senha é:
| Opção | Senha gerada |
|---|---|
| Mínimo 8 caracteres | 8 caracteres com uma letra, um número e um caractere especial |
| Mínimo 10 caracteres | 10 caracteres com uma letra, um número e um caractere especial |
| Mínimo 12 caracteres | 12 caracteres com uma letra, um número e um caractere especial |
| Mínimo 20 caracteres | 20 caracteres com uma letra, um número e um caractere especial |
| Mínimo 20 caracteres, sem requisito de composição | 20 letras e números, sem caractere especial |
- Escolha o direcionamento: todos os dispositivos, grupos de dispositivos específicos ou um alvo personalizado.
Como funciona a rotação
Factorial IT altera a senha de cada conta de administrador local no dispositivo cujo nome de usuário corresponde ao controle. Contas padrão e contas não locais são deixadas de lado.
- Primeira rotação. O intervalo começa a partir da data em que a conta foi criada ou da data em que sua senha foi alterada pela última vez. Uma vez que esse intervalo termina, Factorial IT cria uma nova senha, a define no dispositivo e mantém uma cópia criptografada no console do Factorial IT.
- Contas que Factorial IT não criou. Se a conta já estava no dispositivo, Factorial IT não tem registro de sua senha. Ela define uma nova na próxima sincronização e então segue o cronograma normal. A antiga senha é substituída.
- Mais de um controle no mesmo dispositivo. Se vários controles de rotação visam um dispositivo, o dispositivo recebe o intervalo mais curto e os requisitos de senha mais fortes entre eles.
Para ver a senha atual, abra o dispositivo, vá para a aba Usuários e clique em Ações > Exibir senha no cartão da conta.
Estados de conformidade
Cada dispositivo recebe um resultado para a regra de conformidade Rotação da Senha do Admin:
| Resultado | Significado |
|---|---|
| Conforme | A senha mudou dentro do intervalo configurado. |
| Conforme, sem conta para rotacionar | Nenhuma conta de admin local no dispositivo possui o nome de usuário no controle. Verifique o nome de usuário ou crie a conta com a gestão de Admin. |
| Pendente | Uma nova senha foi enviada e o dispositivo ainda não a aplicou. |
| Erro, conta não criada por Factorial IT | Factorial IT ainda não tem a senha desta conta. Ela será substituída na próxima sincronização. |
| Erro, nenhum admin com SecureToken (macOS) | Factorial IT não pode alterar a senha, porque nenhum outro admin no Mac possui um SecureToken e uma senha armazenada no Factorial IT. |
| Erro, rotação atrasada | O intervalo passou e a senha não foi alterada. |
Editar ou desativar o controle
Abra o controle em MDM > Controles para alterá-lo ou desativá-lo. Desativá-lo interrompe futuras rotações. A senha atualmente no dispositivo permanece como está.
Dicas e Melhores Práticas
- Implante a conta de admin com a gestão de Admin primeiro. Factorial IT então conhece a senha desde o início, e a conta não mostrará o erro "não criada por Factorial IT".
- Nos Macs, faça login uma vez com a conta de admin gerenciada. Esse primeiro login é o que lhe dá o SecureToken do qual a rotação depende.
- Combine os requisitos de senha com sua política de senha antes de salvar. Um desvio significa que cada rotação é rejeitada pelo dispositivo.
- Use um controle por nome de usuário de admin onde puder. Se os controles se sobrepuserem, o intervalo mais curto e os requisitos mais fortes prevalecem, o que pode ser mais rigoroso do que você pretendia.
Solução de Problemas e FAQ
Solução de Problemas
- O dispositivo mostra "Conforme, sem conta para rotacionar". Nenhum admin local no dispositivo corresponde ao nome de usuário. Verifique a ortografia no controle ou crie a conta com a gestão de Admin.
- Um Mac mostra "Erro, nenhum admin com SecureToken". Nenhum outro admin naquele Mac possui tanto um SecureToken quanto uma senha armazenada no Factorial IT. Certifique-se de que a conta de admin gerenciada existe e foi logada pelo menos uma vez.
- O dispositivo mostra "Erro, conta não criada por Factorial IT". A conta existia antes do controle. Factorial IT substitui sua senha na próxima sincronização, após a qual o status é atualizado.
- O status permanece em "Pendente". A nova senha foi enviada, mas o dispositivo não a aplicou. Verifique se o dispositivo está online e sincronizando.
- O dispositivo continua rejeitando a nova senha. Os requisitos de senha no controle provavelmente estão em conflito com sua política de senha. Alinhe os dois.
FAQ
-
Onde encontro a senha atual do admin?
Abra o dispositivo, vá para a aba Usuários e clique em Ações > Exibir senha no cartão da conta.
-
As contas de usuários padrão são rotacionadas?
Não. Apenas contas de administrador local cujo nome de usuário corresponde ao controle são rotacionadas.
-
O que acontece com uma conta de admin que já estava no dispositivo?
A senha dela é sobrescrita na próxima sincronização. A partir de então, segue o cronograma de rotação.
-
Se eu desativar o controle, a senha volta a mudar?
Não. A rotação para e a última senha permanece no dispositivo.
-
E se dois controles visarem o mesmo dispositivo?
O dispositivo usa o intervalo mais curto e os requisitos de senha mais fortes desses controles.