ADSelfService Plus
یکی از پرتکرارترین درخواست‌های میز خدمت، فراموشی رمز عبور یا قفل‌شدن حساب کاربری است. مسئله فقط چند دقیقه زمان کارشناس نیست؛ کاربر تا زمان پاسخ‌گویی از کار می‌ماند و Help Desk نیز درگیر کاری می‌شود که می‌تواند با کنترل امنیتی مناسب به خود کاربر واگذار شود.
بازنشانی رمز عبور و بازکردن حساب قفل‌شده با ADSelfService Plus همین مسئله را هدف می‌گیرد. کاربر می‌تواند پس از احراز هویت، رمز خود را تغییر دهد یا حساب Active Directory را باز کند؛ بدون اینکه برای هر مورد با میز خدمت تماس بگیرد.
خودخدمتی رمز عبور دقیقاً چه کاری انجام می‌دهد؟
در ADSelfService Plus مدیر مشخص می‌کند چه کاربران یا گروه‌هایی اجازه استفاده از قابلیت‌های خودخدمتی را داشته باشند. این قابلیت‌ها می‌توانند شامل بازنشانی رمز عبور، تغییر رمز، بازکردن حساب قفل‌شده و به‌روزرسانی اطلاعات Directory باشند.
| قابلیت | کاربرد |
|---|---|
| بازنشانی رمز عبور | کاربر رمز فراموش‌شده را پس از تأیید هویت تغییر می‌دهد. |
| بازکردن حساب | کاربر حساب قفل‌شده را بدون تماس با Help Desk باز می‌کند. |
| تغییر رمز | کاربر پیش از انقضا رمز خود را تغییر می‌دهد. |
| به‌روزرسانی اطلاعات | اطلاعات مجاز Directory توسط خود کاربر اصلاح می‌شود. |
امنیت از Enrollment شروع می‌شود
خودخدمتی بدون احراز هویت امن، عملاً ریسک تصاحب حساب را بالا می‌برد. طبق مستندات ManageEngine، کاربر پیش از استفاده از Self-Service باید برای روش‌های احراز هویت تعیین‌شده ثبت‌نام کند. مدیر می‌تواند روش‌های چندمرحله‌ای مناسب سازمان را تعریف کند و Policy را بر اساس Domain، OU یا Group اعمال کند.
کاربر از کجا می‌تواند رمز را بازنشانی کند؟
ADSelfService Plus فقط یک صفحه وب نیست. در صورت استقرار Logon Agent، کاربر می‌تواند از صفحه ورود Windows، macOS یا Linux نیز گزینه Reset Password / Unlock Account را در اختیار داشته باشد. همچنین استفاده از Mobile App برای برخی سناریوها ممکن است.
سناریو: کاربر دورکار پشت صفحه ورود مانده است
کاربر لپ‌تاپ سازمانی را در منزل روشن می‌کند، رمز را اشتباه وارد می‌کند و حساب قفل می‌شود. در مدل سنتی، باید با واحد IT تماس بگیرد و منتظر بازکردن حساب بماند. در مدل خودخدمتی، پس از تأیید هویت می‌تواند عملیات Unlock را انجام دهد و سریع‌تر به کار برگردد.
برای کاربران Remote، موضوع Cached Credential نیز اهمیت دارد. معماری باید طوری طراحی شود که تجربه بازنشانی رمز با وضعیت اتصال کاربر، VPN و Login Agent هماهنگ باشد.
Policy را برای همه کاربران یکسان نسازید
کاربر عادی، مدیر مالی و ادمین Domain الزاماً نباید یک Policy داشته باشند. سازمان می‌تواند سیاست‌های متفاوتی برای گروه‌ها و OUهای مختلف تعریف کند؛ مثلاً برای حساب‌های حساس روش احراز هویت سخت‌گیرانه‌تر یا محدودیت استفاده بیشتری در نظر بگیرد.
بعد از بازنشانی، چه کنترل‌هایی مهم‌اند؟
- رعایت Password History؛
- حداقل طول و پیچیدگی رمز؛
- محدودکردن تعداد Reset یا Unlock در یک بازه؛
- ثبت و گزارش عملیات؛
- اعلان به کاربر پس از عملیات حساس؛
- عدم نمایش کامل شماره موبایل یا ایمیل در مرحله تأیید هویت.
کاهش Ticket زمانی واقعی است که Adoption داشته باشید
صرف نصب محصول باعث کاهش تماس‌ها نمی‌شود. کاربران باید Enrollment را تکمیل کرده باشند، گزینه Self-Service را بشناسند و Login Agent در دستگاه‌های لازم نصب شده باشد. بنابراین Rollout باید مرحله‌ای و همراه با اطلاع‌رسانی باشد.
شاخص‌های پیشنهادی برای سنجش نتیجه
| شاخص | هدف |
|---|---|
| تعداد Ticketهای Password Reset | سنجش کاهش تماس‌های Help Desk |
| درصد کاربران Enrolled | سنجش آمادگی استفاده |
| نرخ موفقیت Self-Service | بررسی تجربه واقعی کاربر |
| تعداد عملیات ناموفق MFA | تشخیص مشکل یا رفتار مشکوک |
منابع رسمی
- راهنمای بازکردن حساب کاربری
- راهنمای استقرار قابلیت‌های خودخدمتی رمز عبور
- پیکربندی سیاست‌های Self-Service
سخن پایانی
خودخدمتی رمز عبور وقتی موفق است که هم تجربه کاربر را کوتاه‌تر کند و هم کنترل امنیتی را حفظ کند. ADSelfService Plus با ترکیب Policy، Enrollment و احراز هویت چندمرحله‌ای می‌تواند بخش قابل توجهی از تماس‌های تکراری مرتبط با رمز عبور و Account Lockout را از میز خدمت خارج کند.
برای شناخت محصول و خدمات استقرار، لایسنس و پشتیبانی مدانت به مرکز تخصصی ADSelfService Plus و برای طراحی کلان هویت سازمانی به خدمات مدیریت هویت و Active Directory مدانت مراجعه کنید.
