Как сбросить пароль пользователя в Azure Active Directory (Microsoft 365)

Если пользователь Azure Active Directory забывает свой пароль, администратор клиента Azure (Microsoft 365) может сбросить его несколькими способами: с помощью портала Azure, через PowerShell или путем включения функции самостоятельного сброса пароля (SSPR).

Чтобы сбросить пароль пользователя, ваша учетная запись должна иметь одну из следующих встроенных функций Azure: Администратор пользователей или Администратор паролей.

Сброс пароля пользователя на портале Azure

Самый простой способ сбросить пароль пользователя в Azure — использовать веб-интерфейс портала Azure (или центр администрирования Microsoft 365):

1. Войдите на https://portal.azure.com/ и перейдите в раздел Azure Active Directory -> Пользователи;

2. Выберите пользователя и нажмите Сбросить пароль;

   

3. Вы получите уведомление о том, что пользователю будет присвоен временный пароль:

   The user 'Lina@active-directory.onmicrosoft.com' will be assigned a temporary password that must be changed on the next sign in. To display the temporary password, click 'Reset password'.

   Нажмите Сбросить пароль.

4. Azure сгенерирует для пользователя новый временный пароль и отобразит его на экране;

   

5. Сообщите пользователю новый пароль, и при следующем входе в любое приложение Microsoft 365 с использованием современной проверки подлинности ему будет предложено сменить пароль;

   Your need to update your password because this is the first rime you are signing in, or because your password has expired.

   

6. Вы можете убедиться, что пользователь успешно прошел аутентификацию, используя журналы входа в Azure.

Вот несколько важных вещей, которые следует иметь в виду:

• Срок действия временного пароля никогда не истекает.

• Если ваша локальная служба Active Directory синхронизируется с Azure через соединитель Azure AD, в настройках соединителя необходимо включить функцию Обратная запись пароля, чтобы сбросить пароль пользователя ADDS из облака.

Вы можете включить самостоятельный сброс пароля (SSPR) в своем клиенте Azure. Вы можете включить SSPR для группы пользователей или всех пользователей AAD в Azure Active Directory -> Сброс пароля -> Свойства.

Чтобы сбросить свои пароли, пользователи могут использовать разрешенные методы аутентификации. Помимо стандартных методов MFA, они могут использовать контрольные вопросы и звонки по офисному телефону. Вы можете использовать один или два метода аутентификации.

Сброс пароля пользователя Azure AD с помощью PowerShell

При сбросе пароля пользователя через портал Azure автоматически создается новый временный пароль. Однако вы можете установить новый пароль пользователя вручную с помощью PowerShell.

Вы можете использовать модуль Azure AD для сброса пароля пользователя. Подключитесь к своему клиенту Azure:

Connect-AzureAD

Установите новый пароль и преобразуйте его в SecureString (см. статью о том, как использовать пароли в сценариях PowerShell):

$newPass = ConvertTo-SecureString 'Str0ngNewPa$$1' -AsPlainText -Force

Add-Type -AssemblyName System.Web
$genpass=[System.Web.Security.Membership]::GeneratePassword(9,2)
$newPass = ConvertTo-SecureString $genpass -AsPlainText -Force

Получите идентификатор объекта пользователя, для которого вы хотите изменить пароль, используя его UserPrincipalName:

$userObjectId=(Get-AzureADUser -filter "userPrincipalName eq 'Lina@active-directory.onmicrosoft.com'").ObjectID

Примените новый пароль к пользователю Azure по ObjectID:

Set-AzureADUserPassword -ObjectId $userObjectId -Password $newPass

Если вы хотите, чтобы пользователь сменил пароль при следующем входе в систему, добавьте

-ForceChangePasswordNextLogin $true

вариант.

Вы не сможете просмотреть дату и время, когда пользователь изменил пароль, с помощью модуля Azure AD PowerShell. Вы можете получить эту информацию с помощью Microsoft Graph API или устаревшего модуля MSOnline.

Если у вас установлен модуль MSOnline PowerShell, подключитесь к своему арендатору:

Connect-MsolService

Отобразите значение LastPasswordChangeTimeStamp:

Get-MsolUser -UserPrincipalName 'Lina@active-directory.onmicrosoft.com'| Select DisplayName,UserPrincipalName,LastPasswordChangeTimeStamp

Если в политике паролей Azure AD включен параметр истечения срока действия пароля, вы можете получить дату истечения срока действия пароля пользователя с помощью PowerShell:

$user=Get-MsolUser -UserPrincipalName 'Lina@active-directory.onmicrosoft.com'
$User.LastPasswordChangeTimestamp.AddDays($PasswordPolicy.ValidityPeriod)

msDS-UserPasswordExpiryTimeComputed

Или вы можете получить доступ к API Microsoft Graph из PowerShell, чтобы получить дату и время изменения пароля пользователя, а также данные о создании пользователя в Azure:

$ApplicationID = "your-app-ID"
$TenatDomainName = "your-tenant-ID"
$AccessSecret = "your-app-secret"
$Body = @{
Grant_Type    = "client_credentials"
Scope         = "https://graph.microsoft.com/.default"
client_Id     = $ApplicationID
Client_Secret = $AccessSecret
}
$ConnectGraph = Invoke-RestMethod -Uri "https://login.microsoftonline.com/$TenatDomainName/oauth2/v2.0/token" -Method POST -Body $Body
$token = $ConnectGraph.access_token
$GrapUserUrl = 'https://graph.microsoft.com/v1.0/users?$select= userprincipalname,accountenabled,signInActivity,createdDateTime,lastPasswordChangeDateTime'
$users=(Invoke-RestMethod -Headers @{Authorization = "Bearer $($token)"} -Uri $GrapUserUrl -Method Get).value
$users | where userprincipalname -eq 'Lina@active-directory.onmicrosoft.com' | select userprincipalname,accountenabled,createdDateTime,lastPasswordChangeDateTime

Используя Microsoft Graph API и метод POST, вы даже можете сбросить пароль пользователя. Используйте POST-запрос ниже:

POST https://graph.microsoft.com/v1.0/me/changePassword
Content-Type: application/json
  {
     "currentPassword": "OldPass123!",
     "newPassword": "NewP@ss2!"
   }