Windows Sunucusunda Uzak Masaüstü Web Erişimi Yoluyla Süresi Dolmuş Parola Nasıl Değiştirilir

Bu yazıda, uzak kullanıcılarınızın, Windows Server 2022/2019/2016/2012 R2 üzerinde RD Web Erişimi rolüne sahip bir Uzak Masaüstü Hizmetleri (RDS) sunucusunda özel bir web formu kullanarak süresi dolmuş parolalarını nasıl değiştirebileceklerini göstereceğiz.< br />

Süresi Dolan Parola Uzak Masaüstü Oturumundan Değiştirilemez

Windows Server 2012 R2 ve daha yeni sürümlerde, Uzak Masaüstü bağlantıları için varsayılan olarak NLA (Ağ Düzeyinde Kimlik Doğrulama) etkinleştirilmiştir. NLA, parolalarının süresi dolmuş veya useraccountcontrol kullanıcı özniteliğinde “Kullanıcı ilk Oturum Açıldığında parolayı değiştirmelidir” seçeneğini etkinleştirmiş olan kullanıcıların RDP/RDS ana bilgisayarlarına bağlanmasını engeller. NLA'yı (ref1, ref2) devre dışı bırakabilirsiniz, ancak bu güvenlik açısından iyi değildir. Süresi dolmuş parola ile bir kullanıcı hesabı altında RDSH sunucusuna (Uzak Masaüstü Oturum Ana Bilgisayarı) bağlanmaya çalıştığınızda aşağıdaki hata mesajı çıkıyor:

An authentication error has occurred.
The Local Security Authority cannot be contacted
Remote computer: lonSrvRDS1
This could be due to an expired password
Please update your password if it has expired.

NLA kullanırken, uzak RDP kullanıcıları, şirket ağına RDS altyapısı dışında başka bir erişim yolu yoksa süresi dolmuş parolalarını değiştiremezler. Elbette, önceden doğrudan RDP oturumunda veya Etkileşimli oturum açma: Süre dolmadan önce kullanıcıdan parolayı değiştirmesini iste GPO seçeneğini RDS ana makinelerini etkinleştirerek kullanıcılarınızdan şifrelerini değiştirmelerini isteyebilirsiniz (Bilgisayar Yapılandırması -> Windows Ayarlar -> Yerel Politikalar -> Güvenlik Seçenekleri), ancak kullanıcıların yaygın bir unutkanlığı nedeniyle her zaman çalışmaz.

Windows 2012 R2 ve daha yeni sürümlerde, uzak kullanıcılar Uzak Masaüstü Web Erişimi rolüne sahip sunucudaki özel bir web sayfası aracılığıyla parolalarını (mevcut parola veya süresi dolmuş parola) manuel olarak sıfırlayabilir. Parolayı değiştirmek için, kullanıcının RDS-WebAccess oturum açma web sayfası aracılığıyla kimliğini doğrulaması ve özel bir aspx formu kullanarak parolayı değiştirmesi gerekir.

IISADMPWD

Uzak Kullanıcının RDWeb Erişim Ana Bilgisayarında Süresi Dolmuş Parolayı Sıfırlamasına Nasıl İzin Verilir?

Uzak Masaüstü Web Erişimi (RD Web Erişimi) rolüne sahip sunucuda bir uzaktan parola değiştirme seçeneği mevcuttur, ancak bu özellik varsayılan olarak devre dışıdır.

Dağıtılmış bir RDS sunucu çiftliğiniz varsa, RD Bağlantı Aracısı ana bilgisayarında dağıtım yapılandırmasını bağlayarak RDS-WEB-Access rolü yüklü bir sunucu bulabilirsiniz:

Get-RDServer -ConnectionBroker rdcb1.a-d.site| where {$_.roles -eq "RDS-WEB-ACCESS"}

Bir parolayı değiştirmek için, C:\Windows\Web\RDWeb\Pages n-US içinde bulunan password.aspx dosyasındaki komut dosyasını kullanın.

Parola değiştirme seçeneğini etkinleştirmek için IIS Yöneticisi konsolunu çalıştırmanız gerekir (

inetmgr

) yapılandırılmış RD Web Erişimi rolüne sahip sunucuda. [Sunucu Adı] -> Siteler -> Varsayılan Web Sitesi -> RDWeb -> Sayfalar'a gidin ve Uygulama Ayarları bölümünü açın.

Sağ bölmede, PasswordChangeEnabled parametresini bulun ve değerini true olarak değiştirin.

IIS web sunucusunu konsoldan yeniden başlatın veya şu komutu kullanın:

iisreset 

Parola değiştirme sayfasının kullanılabilirliğini kontrol etmek için aşağıdaki web sayfasına gidin:

https://lonSrvRDS1/RDWeb/Pages/en-US/password.aspx

Kullanıcı adını, eski şifreyi ve yeni şifreyi iki kez girin.

Kullanıcı parolasını başarıyla değiştirdikten sonra aşağıdaki mesaj görünmelidir:

Your password has been successfully changed.

Tamam'a tıklayın ve kullanıcı RD Web oturum açma sayfasına yönlendirilecektir. Kullanıcının parolası, alanın parola politikasıyla eşleşmezse bir uyarı mesajı görüntülenir:

Your new password does not meet the length, complexity, or history requirements of your domain. Try choosing a different new password.

Artık, süresi dolmuş parola ile RD Web Erişimi sunucusuna bağlanmaya çalışıldığında, kullanıcı password.aspx web sayfasına yönlendirilecek ve parolasını değiştirmesi önerilecektir.

RD Web Erişimi Oturum Açma Formuna Parola Değiştirme Bağlantısı Ekleme

Parola değiştirme formuna doğrudan Uzak Masaüstü WebAccess oturum açma formuna bir bağlantı ekleyebilirsiniz. Bu, kullanıcıların parolalarının süresinin dolmasını beklemeden istedikleri zaman değiştirmelerine olanak tanır.

RDWeb oturum açma sayfasına password.aspx dosyasına bir bağlantı ekleyin (düzenlemeden önce password.aspx dosyasının yedek bir kopyasını oluşturun).

1. RDWeb sunucusunda C:\Windows\Web\RDWeb\Pages n-US\login.aspx dosyasını herhangi bir metin düzenleyicide bulun ve açın (Notepad++'ı tercih ederim);

2. 429 numaralı satıra gidin (Windows Server 2022'de, aşağıdaki HTML bloğundan sonra bulunur

   <tr id="trPasswordExpiredNoChange" <%=strErrorMessageRowStyle%> > … </tr>

   ) ve aşağıdaki kodu yapıştırın:

3. <!-- Begin: Add Change Password Link -->
   <tr>
   <td align="right"> <a href="password.aspx" title="Change AD User Password">Click here </a>to change your password.
   </td>
   </tr>
   <!-- End: Add Change Password Link -->

   

4. Login.aspx dosyasındaki değişiklikleri kaydedin, IIS web sitesini yeniden başlatın ve RD Web sunucusunun oturum açma sayfasında parola değiştirme sayfasına giden bir bağlantının göründüğünden emin olun.

Uzak kullanıcılar artık RDS sunucunuzdaki süresi dolmuş parolayı yönetici müdahalesi olmadan değiştirebilir. Yerel bilgisayarınızda oturum açmak için etki alanı Önbelleğe Alınmış Kimlik Bilgilerini kullanırsanız, RDWebAccess aracılığıyla Active Directory parolanızı değiştirdikten sonra bunların güncellenmeyeceğini unutmayın.