Change my Password. Dokumentation: Change my Password Webpart. Kunde. ITaCS GmbH. Autor. Michael Klingner. Co-Autor. Datum 23. Juni Version 3.

Transkript

1 Change my Password Dokumentation: Change my Password Webpart Kunde ITaCS GmbH Autor Michael Klingner Co-Autor Datum 23. Juni 2015 Version 3.1 Vertraulichkeitsstufe Öffentlich ITaCS GmbH Friedrichstraße Berlin GERMANY Telefon Telefax Internet info@ itacs.de

2 Rechtliche Hinweise Die in diesen Unterlagen enthaltenen Angaben und Daten, einschließlich URLs und anderen Verweisen auf Internetwebsites, können ohne vorherige Ankündigung geändert werden. Die Verantwortung für die Beachtung aller geltenden Urheberrechte liegt allein beim Benutzer. Unabhängig von der Anwendbarkeit der entsprechenden Urheberrechtsgesetze darf ohne ausdrückliche schriftliche Erlaubnis der ITaCS GmbH kein Teil dieser Unterlagen für irgendwelche Zwecke vervielfältigt oder übertragen werden, unabhängig davon, auf welche Art und Weise oder mit welchen Mitteln, elektronisch oder mechanisch, dies geschieht. Es ist nicht gestattet, dieses Dokument ohne Einwilligung von ITaCS an Dritte weiterzugeben. Dritte sind nicht direkt am Projekt beteiligte Parteien. Insbesondere Wettbewerbern von ITaCS darf dieses Dokument nicht zugänglich gemacht werden. Es ist möglich, dass ITaCS Rechte an Patenten bzw. angemeldeten Patenten, an Marken, Urheberrechten oder sonstigem geistigen Eigentum besitzt, die sich auf den fachlichen Inhalt dieses Dokuments beziehen. Das Bereitstellen dieses Dokuments gibt Ihnen jedoch keinen Anspruch auf diese Patente, Marken, Urheberrechte oder auf sonstiges geistiges Eigentum. ITaCS ist eine geschützte Marke der ITaCS GmbH ITaCS GmbH. Alle Rechte vorbehalten. Weitere in diesem Dokument aufgeführte tatsächliche Produkt- und Firmennamen können geschützte Marken ihrer jeweiligen Inhaber sein by ITaCS GmbH Dokumentation Change My Passwort 3.1 II

3 Versionsinformationen Versionsinformationen Version Datum Autor Beschreibung Michael Klingner Dokument erstellt René Hézser Erweiterung um Plugin-Schnittstelle Michael Klingner Erweiterungen für Version by ITaCS GmbH Dokumentation Change My Passwort 3.1 III

4 Inhalt Inhalt Versionsinformationen... III Inhalt... IV Bilderverzeichnis... V 1 Einleitung Voraussetzungen Installation Manuelle Installation Installation der Solution Installation in der Zentraladministration Aktivierung der Features Installation mittels Setup Hinzufügen des Webparts Konfiguration FQDN Auditing Schwellwert Lizenz Unverschlüsselte Verbindung Konfiguration in der Zentraladministration Plugins Installation Schnittstellendefinition Beispiel Plugin - Send Mail Update Logging by ITaCS GmbH Dokumentation Change My Passwort 3.1 IV

5 Bilderverzeichnis Bilderverzeichnis Abbildung 1: Webpart Screenshots... 1 Abbildung 2: Installation der WSP-Datei... 2 Abbildung 3: Installierte Solution in der Zentraladministration... 3 Abbildung 4: Bereitstellen der Lösung... 3 Abbildung 5: Webpart Feature in den Webseitensammlungs-Features... 4 Abbildung 6: Setup Start... 5 Abbildung 7: Setup - Voraussetzungen... 6 Abbildung 8: Setup - EULA... 6 Abbildung 9: Setup - Auswahl Webanwendung... 7 Abbildung 10: Setup - Auswahl Webseitensammlung... 7 Abbildung 11: Hinzufügen des Webparts... 8 Abbildung 12: Einstellungen des Webparts verändern... 9 Abbildung 13: Webpart Eigenschaften Abbildung 14: Eintrag im ULS Abbildung 15 Zentraladministration Change my Password Abbildung 16 Zentraladministration Konfigurationsseite Abbildung 17: The Plugin Directory Abbildung 18: Setup - Voraussetzungen für Update Abbildung 19: Setup - Upgrade Abbildung 20: Logging Konfiguration in der Zentraladministration by ITaCS GmbH Dokumentation Change My Passwort 3.1 V

6 Einleitung 1 Einleitung Der Change my Password -Webpart ermöglicht es Benutzern ihr Kennwort in einem Microsoft Active Directory (Active Directory) zu ändern. In Extranet-Szenarien gibt es häufig das Problem, dass Benutzer sich nicht mit einem PC an der Domäne anmelden, sondern nur über Microsoft SharePoint Webseiten (SharePoint). Damit diese Benutzer trotzdem ihr Kennwort ändern können, kann der Change my Password -Webpart genutzt werden. Aus Sicherheitsgründen wird empfohlen die Verbindung mittels TLS abzusichern (https). Die Passwörter würden sonst unverschlüsselt übertragen. In den Webpart Einstellungen kann jedoch explizit http erlaubt werden. Abbildung 1: Webpart Screenshots 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 1 / 19

7 Voraussetzungen Der Copyright-Hinweis kann durch das Hinzufügen einer Lizenz in den Eigenschaften abgeschaltet werden. 2 Voraussetzungen Bisher unterstützt die Lösung die Änderung eines Kennwortes in einem Microsoft Active Directory. Es wird SharePoint ab der Version 2010 benötigt. Hierbei ist es egal, ob die Edition SharePoint Foundation oder SharePoint Server eingesetzt wird. Active Directory SharePoint Foundation/Server ab Installation Die Installation der Lösung umfasst drei Schritte. 1. Installation der Solution 2. Aktivierung der Features 3. Hinzufügen des Webparts Die Schritte 1 und 2 können entweder manuell durchgeführt werden, oder automatisiert durch ein Setup. 3.1 Manuelle Installation Installation der Solution Der erste Schritt ist das Hinzufügen der WSP zur SharePoint-Farm. Hierzu wird die WSP-Datei auf einen Server der Farm kopiert und mit dem folgenden PowerShell Befehl installiert: Add-SPSolution -LiteralPath C:\itacs.changepasswordwebpart.3_1.XXXXXXXX.wsp Abbildung 2: Installation der WSP-Datei Die erfolgreiche Installation der Lösung kann in der Zentraladministration überprüft werden by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 2 / 19

8 Installation Abbildung 3: Installierte Solution in der Zentraladministration Für die Nutzung des Webparts muss die Lösung auf jeder Webanwendung bereitgestellt werden, die den Webpart nutzten wird. Auch dieser Schritt wird mit einem PowerShell-Befehl durchgeführt. Install-SPSolution Identity itacs.changepasswordwebpart.3_1.xxxxxxxx.wsp - WebApplication -GACDeployment Abbildung 4: Bereitstellen der Lösung Nach diesen beiden Schritten wurden die benötigten Features automatisch aktiviert. In der nachfolgenden Tabelle sind alle Features der Lösung aufgeführt. Name / ID Scope Beschreibung ChangePasswordWebPart_Logging 8407e825-8ecb-43a e252250c6e5 ChangePasswordWebPart_Configuration 9a6311b9-e1fc-4891-ae37-0a7b3bebf26d ChangePasswordWebPart_WebPart cb b46-464d-91a4-7c1fb4e60164 Tabelle 1: Features Farm Farm Site Wird automatisch aktiviert und stellt Logging Kategorien zur Verfügung. Stellt den Link zur Konfiguration in der Zentral Administration bereit. Fügt den Webpart in den Webpart-Katalog einer Webseitensammlung hinzu by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 3 / 19

9 Installation Installation in der Zentraladministration Um den Change my Password -Webpart global zu konfigurieren wird ein Deployment des WebParts in die Zentraladministration benötigt. Führen Sie hierzu das folgende PowerShell-Skript mit Angabe zur URL ihrer Zentraladministration aus: Install-SPSolution Identity itacs.changepasswordwebpart.3_1.xxxxxxxx.wsp - WebApplication -GACDeployment Aktivierung der Features Darüber hinaus muss das Feature ChangePasswordWebPart_WebPart manuell für die SharePoint Site aktiviert werden, auf der der Webpart eingesetzt werden soll. Enable-SPFeature -Identity ChangePasswordWebPart_WebPart -Url Abbildung 5: Webpart Feature in den Webseitensammlungs-Features 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 4 / 19

10 Installation 3.2 Installation mittels Setup Alternativ kann die Installation über die Datei setup2013.exe für SharePoint 2013 oder setup2010.exe für SharePoint 2010 gestartet werden. In den folgenden Dialogen müssen die Webanwendungen und die Webseitensammlungen angegeben werden, in denen der Webpart genutzt werden soll. Abbildung 6: Setup Start Nach dem Start werden die Systemvoraussetzungen automatisch überprüft. Im Erfolgsfall kann die Lösung in der Farm installiert werden by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 5 / 19

11 Installation Abbildung 7: Setup - Voraussetzungen Abbildung 8: Setup - EULA Nachdem die Lizenzbedingungen akzeptiert wurde, können die Webanwendungen ausgewählt werden, in denen die Lösung bereitgestellt werden soll. Der Webpart muss für die Konfiguration in die Zentral Administration installiert werden. Diese Checkbox ist vorausgewählt und kann nicht deselektiert werden by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 6 / 19

12 Installation Abbildung 9: Setup - Auswahl Webanwendung Durch die Aktivierung gewünschter Webseitensammlungen wird der Webpart dort in den Webpart- Katalog installiert, so dass er einfach auf einer Seite hinzugefügt werden kann. Abbildung 10: Setup - Auswahl Webseitensammlung Die nächsten Dialoge zeigen den Fortschritt der Installation und eine Übersicht zum Abschluss an by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 7 / 19

13 Installation 3.3 Hinzufügen des Webparts Die Aktivierung des Features auf Webseitensammlungsebene fügt den Webpart dem Katalog hinzu. Dadurch kann er einfach in jeder Webseite genutzt werden. Abbildung 11: Hinzufügen des Webparts In den Eigenschaften des Webparts kann dieser angepasst werden (siehe Kapitel 4) by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 8 / 19

14 Installation Abbildung 12: Einstellungen des Webparts verändern 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 9 / 19

15 Konfiguration 4 Konfiguration Über die Webpart-Einstellungen können diverse Anpassungen durchgeführt werden. Der Webpart kann entweder lokal, also im Toolpane bearbeitet werden, oder global in der Zentral Administration. Damit der Webpart lokal bearbeitet werden kann, muss Webpart lokal konfigurieren aktiviert werden. Abbildung 13: Webpart Eigenschaften 4.1 FQDN Der Full Qualified Domain Name eines Active Directory wird benötigt, um sich eindeutig mit einem Verzeichnisdienst verbinden zu können. Nur so können eine Kennwortänderung und das Auslesen von weiteren Daten wie Kennwortrichtlinien erfolgen by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 10 / 19

16 Konfiguration Der Wert wird initial durch die Domäne des SharePoint-Servers befüllt und kann jederzeit geändert werden, wenn es nötig ist. 4.2 Auditing Bei Bedarf kann ein Auditing eingeschaltet werden. In diesem Fall werden Fehlversuche und erfolgreiche Änderungen von Kennwörtern in das SharePoint Log (ULS) geschrieben. Abbildung 14: Eintrag im ULS Alle Einträge nutzen die Werte ITaCS - PasswordChanger für das Produkt und PasswordChanger Audit für die Kategorie. Somit kann eine einfache Auswertung erfolgen. 4.3 Schwellwert Mit Hilfe des Wertes kann in gewissem Ausmaße Einfluss auf die Komplexität von Kennwörtern genommen werden. Ein höherer Wert erfordert z.b. mehr Sonderzeichen in neuen Kennwörtern. Jedes Zeichen aus einer Gruppe (Großbuchstaben, Zahlen, Sonderzeichen) erhöht die Komplexität. Mit der Länge zusammen ergibt sich so der Schwellwert by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 11 / 19

17 Konfiguration Bei einem Schwellwert von 10 ist z.b. das Passwort 1a!_ gültig. Der Standardwert von 40 benötigt hingegen schon 1a!_1a!_1a!_. Sind für das Active Directory die Komplexitätsvoraussetzungen aktiviert, erkennt der Webpart dies und überprüft die neuen Passwörter mit folgenden Mindestvoraussetzungen: - Sie dürfen weder wesentliche Teile des Kontonamens des Benutzers noch den vollständigen Kontonamen enthalten. - Sie müssen mindestens sechs Zeichen lang sein. - Sie müssen Zeichen aus drei der vier folgenden Kategorien enthalten: o o Großbuchstaben von A bis Z Kleinbuchstaben von A bis Z o Ziffern der Basis 10 (0 bis 9) o Andere als alphabetische Zeichen (z. B.!, $, #, %) Wurden diese Vorrausetzungen nicht erfüllt, bleibt der Schwellenwert bei Lizenz Wenn eine Lizenz vorhanden ist, wird diese hier eingetragen um den Copyright Vermerk im Webpart zu deaktivieren by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 12 / 19

18 Konfiguration 4.5 Unverschlüsselte Verbindung Aus Sicherheitsgründen wird eine Nutzung des Webparts über eine unverschlüsselte Verbindung in der Standardeinstellung verhindert. Hierdurch wird verhindert, dass Passwörter einfach aus dem Datenverkehr mitgeschnitten werden können. Auf expliziten Wunsch kann diese Sicherheitsmaßnahme in den Webpart Eigenschaften deaktiviert werden. 4.6 Konfiguration in der Zentraladministration Über die Zentraladministration können diese Einstellungen global für alle Change my Password - Webparts konfiguriert werden. Wechseln Sie hierzu in der Zentraladministration auf die Seite Systemeinstellungen ITaCS Password Changer WebPart Configuration. Abbildung 15 Zentraladministration Change my Password 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 13 / 19

19 Abbildung 16 Zentraladministration Konfigurationsseite 5 Plugins Ein Plugin ist eine.net Assembly, in der zusätzliche Funktionalität bereitgestellt wird. Für die Nutzung der Plugin-Schnittstelle wird eine Lizenz benötigt. Ein Plugin kann Aktionen vor und nach der Passwortänderung durchführen. Ein Abbruch der Passwortänderung ist auch möglich. 5.1 Installation Plugins in Form von dll Dateien werden in den Plugins Ordner C:\Program Files\Common Files\microsoft shared\web Server Extensions\14\TEMPLATE\LAYOUTS\ChangePasswordWebPart\Plugins kopiert. Bitte denken Sie daran, dass dieser Ordner auf allen SharePoint Servern mit der Rolle WebFrontend existiert! Weitere Schritte sind nicht nötig by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 14 / 19

20 Plugins 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 15 / 19

21 Plugins Abbildung 17: The Plugin Directory 5.2 Schnittstellendefinition Plugins können erstellt werden, indem eine neue Klasse erstellt wird, die das Interface IChangePasswordPlugin der Assembly ITaCS.ChangePasswordCore, Version= , Culture=neutral, PublicKeyToken=8b1a762b440f93d9 implementiert. public interface IChangePasswordPlugin { string TypeName { get; } string Title { get; } string Description { get; } bool OnPasswordChanging(IUserInfo userinfo); bool OnPasswordChanged(IUserInfo userinfo); } void CheckConfiguration(ICheckConfigurationArguments args); 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 16 / 19

22 Plugins Beispiel Plugin - Send Mail using System.Net.Mail; using Itacs.Products.ChangePasswordCore.Data; using Itacs.Products.ChangePasswordCore.Plugins; namespace CMPW_Mail { public class ChangePasswordPluginMailInfo : IChangePasswordPlugin { private readonly SmtpClient _smtp; public ChangePasswordPluginMailInfo() { TypeName = "Mail"; Title = "Send Info Mail"; Description = "Sends an info mail to the user"; } _smtp = new SmtpClient("localhost"); public string TypeName { get; set; } public string Title { get; set; } public string Description { get; set; } public bool OnPasswordChanging(IUserInfo userinfo) { // return an ok, but do nothing here... return true; } public bool OnPasswordChanged(IUserInfo userinfo) { // mail string msg = "Ihr Kennwort wurde erfolgreich geändert."; var mail = new MailMessage("cmpw@itacs.de", userinfo. , "Passwort geändert", msg); // send mail _smtp.send(mail); } // everything ok return true; } } public void CheckConfiguration(ICheckConfigurationArguments args) { // checking SMTP configuration if (_smtp == null) { // adding an error if SMTP is not configured args.messages.add("smtp not configured"); args.status = CheckConfigurationStatus.Error; } else { // SMTP configured args.status = CheckConfigurationStatus.Success; } } 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 17 / 19

23 6 Update Eine neue Version der Lösung kann einfach über die bereits vorhandene Version installiert werden. Alle Einstellungen der Webpart-Instanzen bleiben erhalten. Abbildung 18: Setup - Voraussetzungen für Update Abbildung 19: Setup - Upgrade 2015 by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 18 / 19

24 Logging Im nächsten Schritt können Sie erkennen auf welchen Webseitensammlungen das Feature bereits aktiviert ist. Diese Auflistung dient nur der Information. 7 Logging Einige Ereignisse, wie die erfolglose Passwortänderung, erzeugen einen Eintrag im SharePoint Log. In der Zentraladministration kann konfiguriert werden, ab welchem Schweregrad diese Einträge erstellt werden. Abbildung 20: Logging Konfiguration in der Zentraladministration Normalerweise ist an dieser Stelle keine Anpassung nötig by ITaCS GmbH Dokumentation Change My Passwort 3.1 Seite 19 / 19