Пароль в Active Directory сотрудник меняет сам
Смена, восстановление и разблокировка учётной записи со вторым фактором. Один исполняемый файл для закрытого контура, без администратора домена и без выхода в интернет.
Так выглядит портал у сотрудника, тема «Сумерки». Форма настоящая, её можно пройти.Astra Linux · РЕД ОС · ALT
Пароль истёк в выходные. В понедельник в 9:12 сотрудник не может войти
Самая частая заявка в поддержку и самая бесполезная. Вот как она выглядит сейчас и с порталом.
и два человека: сотрудник и инженер поддержки
- Звонит на линию поддержки, ждёт ответа
- Инженер заводит заявку и проверяет личность вопросами по телефону
- Сбрасывает пароль в оснастке, задаёт временный
- Диктует временный пароль. Который потом ещё раз меняют
- Сотрудник входит. Заявка закрыта
и ни одного звонка
- Открывает портал по ссылке из письма-напоминания. Логин уже подставлен
- Вводит код из приложения-аутентификатора
- Задаёт новый пароль. Блокировка снята, событие записано в журнал
Пример одного утра. Цифры по вашей компании покажет пилот.
Администратор домена не нужен ни в одном режиме
Смена известного пароля идёт от имени самого сотрудника. В этом режиме у портала вообще нет служебной учётной записи, и сменить пароль постороннему он не может, даже если его взломают.
Для восстановления забытого пароля служебной учётной записи делегируются ровно два права на подразделение с сотрудниками. Стенд проверяет это на настоящем контроллере домена в каждом прогоне: за границей делегирования сброс не проходит.
Перечень прав и команды делегирования для службы безопасности пришлём по запросу.
corp.local ├─ Domain Controllers ├─ Служебные │ └─ svc-sspr └─ Сотрудники ← делегировано svc-sspr ├─ ivanov ├─ petrova └─ sidorov
00299570-246d-11d0-a768-00aa006e052928630ebf-41d5-11d1-a9c1-0000f80367c1не нужныне нужнаСтавится в закрытый контур копированием одного файла
Статическая сборка без рантайма и внешних зависимостей. Шрифты, стили и QR-код внутри бинаря. Лицензия проверяется на месте, без сервера активации.
$ sha256sum -c SHA256SUMS --ignore-missing sspr_0.2.0_amd64.deb: OK $ sudo apt install ./sspr_0.2.0_amd64.deb … $ sspr license show арендатор: ООО «Ромашка» ступень: s500 (до 500 учётных записей) выпущен: 30.09.2026 действует до: 30.09.2027 сопровождение: 30.09.2027 Истечение подписки не выключает сброс паролей. Через 30 дней после него на внешних страницах появляется строка об истечении, через 90 (29.12.2027) сбрасывается оформление и останавливаются напоминания.
Журнал, который нельзя тихо поправить
Каждая запись сцеплена с предыдущей хэшем. Изменённая или удалённая строка ломает цепочку, и интерфейс администратора показывает, где именно.
Интерфейс администратора слушает отдельный адрес, только во внутренней сети, вход со вторым фактором без исключений. Кто администратор, решает группа в каталоге.
| 09:12:04 | login.attempt | ivanov | failure | prev 77e1…c403 |
| 09:12:31 | factor.issued | ivanov | totp | prev 1b9a…02fd |
| 09:12:48 | factor.verified | ivanov | success | prev 9f3c…a1e7 |
| 09:13:10 | password.reset | ivanov | success | prev 41d0…6b2c |
| 09:13:10 | account.unlock | ivanov | success | prev c8e2…5510 |
| 09:13:11 | notice.sent | ivanov | prev 0a47…e9b3 | |
| 09:20:02 | reminder.sent | petrova | prev 5d16…7f08 |
Портал выглядит как часть вашей инфраструктуры
Четыре темы, ваш логотип, цвет и фотография. Для службы безопасности это ещё и защита от фишинга: сотрудник узнаёт свой портал.
Подписка на год, всё включено
Все факторы, напоминания, журнал, интерфейс администратора и обновления. Цена зависит только от числа учётных записей.
| Учётных записей | В год | За учётную запись |
|---|---|---|
| до 100 | 49 000 ₽ | 490 ₽ |
| до 500 | 149 000 ₽ | 298 ₽ |
| до 1 000 | 249 000 ₽ | 249 ₽ |
| до 3 000 | 449 000 ₽ | 150 ₽ |
| без ограничения | 700 000 ₽ | — |
Если подписку не продлить, установленная версия продолжает работать. Прекращаются обновления и поддержка, через 90 дней сбрасывается оформление и останавливаются напоминания. Смена и восстановление паролей не останавливаются никогда.
Ключ, пакеты и документация для закрытого контура лежат в кабинете. Там же продление: заявка, счёт и договор.
Проверьте на своём домене
Пилот ставится за час на отдельный узел. Понадобятся два делегированных права и тестовое подразделение.