Come funziona Sincronizzazione password?

Con Password Sync è possibile aggiornare le password di Google Workspace e Cloud Identity degli utenti direttamente da Microsoft Active Directory.

Password Sync è disponibile per gli amministratori di Google Workspace e Cloud Identity.

Come funziona

Dopo essere stato installato e configurato, Sincronizzazione password invia le password aggiornate al tuo Account Google ogni volta che un utente di Active Directory cambia la propria password.

1. Quando la password di un utente viene cambiata, la richiesta di aggiornamento viene inviata al controller di dominio.
2. La libreria di collegamento dinamico (DLL) di Sincronizzazione password viene richiamata da Microsoft Windows su quel controller di dominio con la nuova password e il nuovo nome utente.
3. Il servizio riceve la password con hash e il nome utente dalla DLL.
4. Il servizio recupera l'indirizzo email dell'utente da Active Directory tramite LDAP.
5. Il servizio aggiorna l'Account Google utilizzando l'API Directory. Inoltre, affinché le API Google Workspace funzionino correttamente, devi aprire diverse porte e aggiungere alcuni nomi di host alla tua lista consentita. Scopri di più
6. L'utente può quindi accedere al proprio Account Google utilizzando la password di Active Directory.

Dettagli tecnici

• In Active Directory, le password vengono memorizzate in sola scrittura e non sono leggibili tramite alcuna interfaccia, ad esempio LDAP. Non sono quindi accessibili dai metodi di sincronizzazione tradizionali, ad esempio Google Cloud Directory Sync. L'unico modo per leggere le password è acquisirle quando vengono impostate o cambiate.
• Sincronizzazione password include una DLL denominata "password_sync_dll.dll" installata come pacchetto di notifiche LSA. Per ulteriori informazioni sui pacchetti di notifiche LSA, consulta questo articolo di Microsoft.
• Quando una password viene cambiata su un determinato controller di dominio, la DLL riceve la password aggiornata e il nome utente dell'utente. Sincronizzazione password deve essere installato su ogni controller di dominio scrivibile, in quanto la sincronizzazione della password viene attivata da Windows sul controller di destinazione che riceve la variazione della password attiva. L'attivazione avviene a ogni aggiornamento di password, sia che questo venga eseguito dall'amministratore o dall'utente finale. Per ulteriori informazioni sulla funzione di callback PasswordChangeNotify, consulta questo articolo di Microsoft.
• Quando la DLL riceve il nome utente e la password, aggiunge un hash alla password SHA512 salata e la invia al servizio Sincronizzazione password.
• Il servizio Sincronizzazione password ("password_sync_service.exe") cerca quindi l'indirizzo email dell'utente in Active Directory tramite LDAP, in base al nome utente inviato dalla DLL. Quindi, aggiorna l'Account Google utilizzando l'API Directory. Quando le password vengono cambiate tramite l'API Directory, alcuni token OAuth dell'applicazione vengono revocati. Agli utenti potrebbe essere chiesto di accedere di nuovo alle applicazioni con il proprio nome utente e la propria password.
• Sincronizzazione password è conforme alle considerazioni sulla programmazione dei filtri delle password di Microsoft. Per informazioni dettagliate, consulta questo articolo di Microsoft.

_{Google, Google Workspace e marchi e loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.}