Hur fungerar lösenordssynkronisering?

Password Sync kan användas för att uppdatera användarnas Google Workspace- och Cloud Identity-lösenord direkt från Microsoft Active Directory.

Password Sync är tillgängligt för administratörer av Google Workspace och Cloud Identity.

Så här fungerar det

När Lösenordssynkronisering har installerats och konfigurerats skickas uppdaterade lösenord till Google-kontot varje gång en Active Directory-användare ändrar sitt lösenord.

1. När en användares lösenord ändras skickas uppdateringsbegäran till en domänkontrollant (DK).
2. Lösenordssynkronisering Dynamic Link Library (DLL) anropas av Microsoft Windows på denna DK med det nya lösenordet och användarnamnet.
3. Tjänsten tar emot det hashlagrade lösenordet och användarnamnet från DLL.
4. Tjänsten får användarens e-postadressen från Active Directory med hjälp av LDAP.
5. Tjänsten uppdaterar Google-kontot med Directory API. För att Google Workspace API ska fungera korrekt måste du öppna flera portar och lägga till några värdnamn i listan över tillåtna enheter. Läs mer
6. Användaren kan sedan logga in på Google-kontot med Active Directory-lösenordet.

Teknisk information

• I Active Directory lagras lösenord som skrivskyddade. De kan inte läsas via något gränssnitt, som LDAP. Därför kan konventionella synkroniseringsmetoder (exempelvis Google Cloud Directory Sync) inte få åtkomst till dem. Det enda sättet att läsa lösenord är att registrera dem när de ställs in eller ändras.
• Lösenordssynkronisering har ett DLL som heter ”password_sync_dll.dll” som installeras som ett LSA-aviseringspaket. Mer information om LSA-aviseringspaket finns i den här Microsoft-artikeln.
• När ett lösenord ändras på en specifik DC, tar DLL emot det uppdaterade lösenordet och användarnamnet för användaren. Lösenordssynkronisering måste installeras på alla skrivbara DK eftersom Windows på DK som tar emot lösenordsändringen återställer lösenordssynkroniseringen. Aktiveringen sker för alla lösenordsuppdateringar, oavsett om de görs av en administratör eller av slutanvändaren. Mer information om återuppringningsfunktionen för PasswordChangeNotify hittar du i den här Microsoft-artikeln.
• När DLL tar emot användarnamnet och lösenordet hashlagras lösenordet som saltad SHA512 och skickas till Lösenordssynkronisering-tjänsten.
• Tjänsten Lösenordssynkronisering (password_sync_service.exe) letar sedan upp användarens e-postadress i Active Directory med LDAP baserat på användarnamnet som skickats av DLL. Den uppdaterar sedan Google-kontot med Directory API. När lösenord ändras via Directory API återkallas vissa OAuth-token för appen. Användarna kan behöva logga in på appar med användarnamn och lösenord.
• Lösenordssynkronisering följer Microsofts villkor för programmering av lösenordsfiltrering. Mer information finns i den här Microsoft-artikeln.

_{Google, Google Workspace och relaterade märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.}