letmein

Пароль в Active Directory сотрудник меняет сам

Смена, восстановление и разблокировка учётной записи со вторым фактором. Один исполняемый файл для закрытого контура, без администратора домена и без выхода в интернет.

Так выглядит портал у сотрудника, тема «Сумерки». Форма настоящая, её можно пройти.Astra Linux · РЕД ОС · ALT

Пароль истёк в выходные. В понедельник в 9:12 сотрудник не может войти

Самая частая заявка в поддержку и самая бесполезная. Вот как она выглядит сейчас и с порталом.

14минут

и два человека: сотрудник и инженер поддержки

  1. Звонит на линию поддержки, ждёт ответа
  2. Инженер заводит заявку и проверяет личность вопросами по телефону
  3. Сбрасывает пароль в оснастке, задаёт временный
  4. Диктует временный пароль. Который потом ещё раз меняют
  5. Сотрудник входит. Заявка закрыта
40секунд

и ни одного звонка

  1. Открывает портал по ссылке из письма-напоминания. Логин уже подставлен
  2. Вводит код из приложения-аутентификатора
  3. Задаёт новый пароль. Блокировка снята, событие записано в журнал

Пример одного утра. Цифры по вашей компании покажет пилот.

Администратор домена не нужен ни в одном режиме

Смена известного пароля идёт от имени самого сотрудника. В этом режиме у портала вообще нет служебной учётной записи, и сменить пароль постороннему он не может, даже если его взломают.

Для восстановления забытого пароля служебной учётной записи делегируются ровно два права на подразделение с сотрудниками. Стенд проверяет это на настоящем контроллере домена в каждом прогоне: за границей делегирования сброс не проходит.

Перечень прав и команды делегирования для службы безопасности пришлём по запросу.

corp.local
├─ Domain Controllers
├─ Служебные
│  └─ svc-sspr
└─ Сотрудники          ← делегировано svc-sspr
   ├─ ivanov
   ├─ petrova
   └─ sidorov
Reset Password00299570-246d-11d0-a768-00aa006e0529
Запись lockoutTime28630ebf-41d5-11d1-a9c1-0000f80367c1
Domain Admins, Account Operatorsне нужны
Запись userAccountControlне нужна

Ставится в закрытый контур копированием одного файла

Статическая сборка без рантайма и внешних зависимостей. Шрифты, стили и QR-код внутри бинаря. Лицензия проверяется на месте, без сервера активации.

Истечение подписки не выключает сброс паролейЛицензия давит на администратора, а не на сотрудника. Останавливаются обновления и поддержка.
Коды через ваш СМС-шлюзПо вашему договору с оператором. Шесть провайдеров подключаются одной строкой, любой другой — шаблоном запроса.
$ sha256sum -c SHA256SUMS --ignore-missing
sspr_0.2.0_amd64.deb: OK
$ sudo apt install ./sspr_0.2.0_amd64.deb
…
$ sspr license show
арендатор:      ООО «Ромашка»
ступень:        s500 (до 500 учётных записей)
выпущен:        30.09.2026
действует до:   30.09.2027
сопровождение:  30.09.2027

Истечение подписки не выключает сброс паролей. Через 30 дней после него на
внешних страницах появляется строка об истечении, через 90 (29.12.2027)
сбрасывается оформление и останавливаются напоминания.

Журнал, который нельзя тихо поправить

Каждая запись сцеплена с предыдущей хэшем. Изменённая или удалённая строка ломает цепочку, и интерфейс администратора показывает, где именно.

Интерфейс администратора слушает отдельный адрес, только во внутренней сети, вход со вторым фактором без исключений. Кто администратор, решает группа в каталоге.

ОбзорЖурналВторой факторЛицензия● цепочка цела, 18 206 записей
09:12:04login.attemptivanovfailureprev 77e1…c403
09:12:31factor.issuedivanovtotpprev 1b9a…02fd
09:12:48factor.verifiedivanovsuccessprev 9f3c…a1e7
09:13:10password.resetivanovsuccessprev 41d0…6b2c
09:13:10account.unlockivanovsuccessprev c8e2…5510
09:13:11notice.sentivanovemailprev 0a47…e9b3
09:20:02reminder.sentpetrovaemailprev 5d16…7f08

Портал выглядит как часть вашей инфраструктуры

Четыре темы, ваш логотип, цвет и фотография. Для службы безопасности это ещё и защита от фишинга: сотрудник узнаёт свой портал.

Тема «Сумерки»
СумеркиФото во весь экран, форма на затемнении
Тема «Строгий»
СтрогийМонохром и панель помощи
Тема «Пейзаж»
ПейзажФото во вставке, широкий заголовок
Тема «Фокус»
ФокусОдин вопрос на экран

Подписка на год, всё включено

Все факторы, напоминания, журнал, интерфейс администратора и обновления. Цена зависит только от числа учётных записей.

Учётных записейВ годЗа учётную запись
до 10049 000 ₽490 ₽
до 500149 000 ₽298 ₽
до 1 000249 000 ₽249 ₽
до 3 000449 000 ₽150 ₽
без ограничения700 000 ₽—

Если подписку не продлить, установленная версия продолжает работать. Прекращаются обновления и поддержка, через 90 дней сбрасывается оформление и останавливаются напоминания. Смена и восстановление паролей не останавливаются никогда.

Ключ, пакеты и документация для закрытого контура лежат в кабинете. Там же продление: заявка, счёт и договор.

Проверьте на своём домене

Пилот ставится за час на отдельный узел. Понадобятся два делегированных права и тестовое подразделение.