Пароль в Active Directory сотрудник меняет сам
Смена, восстановление и разблокировка учётной записи со вторым фактором. Один исполняемый файл для закрытого контура, без администратора домена и без выхода в интернет.
Так выглядит портал у сотрудника, тема «Сумерки». Форма настоящая, её можно пройти.Astra Linux · РЕД ОС · ALT
Пароль истёк в выходные. В понедельник в 9:12 сотрудник не может войти
Самая частая заявка в поддержку и самая бесполезная. Вот как она выглядит сейчас и с порталом.
и два человека: сотрудник и инженер поддержки
- Звонит на линию поддержки, ждёт ответа
- Инженер заводит заявку и проверяет личность вопросами по телефону
- Сбрасывает пароль в оснастке, задаёт временный
- Диктует временный пароль. Который потом ещё раз меняют
- Сотрудник входит. Заявка закрыта
и ни одного звонка
- Открывает портал по ссылке из письма-напоминания. Логин уже подставлен
- Вводит код из приложения-аутентификатора
- Задаёт новый пароль. Блокировка снята, событие записано в журнал
Пример одного утра. Цифры по вашей компании покажет пилот.
Прав администратора домена не нужно ни в одном режиме
Смена известного пароля идёт от имени самого сотрудника. В этом режиме у портала вообще нет служебной учётной записи, и сменить пароль постороннему он не может, даже если его взломают.
Для восстановления забытого пароля служебной учётной записи делегируются ровно два права на подразделение с сотрудниками. Стенд проверяет это на настоящем контроллере домена в каждом прогоне: за границей делегирования сброс не проходит.
Перечень прав и команды делегирования для службы безопасности пришлём по запросу.
corp.local ├─ Domain Controllers ├─ Служебные │ └─ svc-sspr └─ Сотрудники ← делегировано svc-sspr ├─ ivanov ├─ petrova └─ sidorov
00299570-246d-11d0-a768-00aa006e052928630ebf-41d5-11d1-a9c1-0000f80367c1не нужныне нужнаСтавится в закрытый контур копированием одного файла
Статическая сборка без рантайма и внешних зависимостей. Шрифты, стили и QR-код внутри бинаря. Лицензия проверяется на месте, без сервера активации.
$ sha256sum -c SHA256SUMS --ignore-missing sspr_0.2.0_amd64.deb: OK $ sudo apt install ./sspr_0.2.0_amd64.deb … $ sspr license show арендатор: ООО «Ромашка» ступень: s500 (до 500 учётных записей) выпущен: 30.09.2026 действует до: 30.09.2027 сопровождение: 30.09.2027 Истечение подписки не выключает смену и восстановление паролей. С 14-го дня (14.10.2027) на портале плашка, оформление сброшено, с 30-го (30.10.2027) интерфейс администратора закрыт до продления.
Журнал, который нельзя тихо поправить
Каждая запись сцеплена с предыдущей хэшем. Изменённая или удалённая строка ломает цепочку, и интерфейс администратора показывает, где именно.
Интерфейс администратора слушает отдельный адрес, только во внутренней сети, вход со вторым фактором без исключений. Кто администратор, решает группа в каталоге.
| 09:12:04 | login.attempt | ivanov | failure | prev 77e1…c403 |
| 09:12:31 | factor.issued | ivanov | totp | prev 1b9a…02fd |
| 09:12:48 | factor.verified | ivanov | success | prev 9f3c…a1e7 |
| 09:13:10 | password.reset | ivanov | success | prev 41d0…6b2c |
| 09:13:10 | account.unlock | ivanov | success | prev c8e2…5510 |
| 09:13:11 | notice.sent | ivanov | prev 0a47…e9b3 | |
| 09:20:02 | reminder.sent | petrova | prev 5d16…7f08 |
Портал выглядит как часть вашей инфраструктуры
Четыре темы, ваш логотип, цвет и фотография. Для службы безопасности это ещё и защита от фишинга: сотрудник узнаёт свой портал.
Подписка на год, всё включено
Все факторы, напоминания, журнал, интерфейс администратора и обновления. Цена зависит только от числа учётных записей.
| Учётных записей | В год | За учётную запись |
|---|---|---|
| до 100 | 59 000 ₽ | 590 ₽ |
| до 500 | 239 000 ₽ | 478 ₽ |
| до 1 000 | 449 000 ₽ | 449 ₽ |
| больше 1 000 | по запросу | — |
До 50 сотрудников — бесплатно
Все функции и обновления, ключ на год с бесплатным продлением. Поддержка — документация и почта, без гарантированных сроков.
Если подписку не продлить, портал для сотрудников продолжает менять и восстанавливать пароли. С первого дня администратор видит предупреждение, через 14 дней на портале появляется красная плашка и сбрасывается оформление, через 30 дней интерфейс администратора закрывается до установки ключа продления. Обновления и поддержка прекращаются. Ключ снимает ограничения сразу.
Ключ, пакеты и документация для закрытого контура лежат в кабинете. Там же продление: заявка, счёт и договор.
Бесплатный ключ: вопросы
Это правда бесплатно?
Да, для организаций до 50 сотрудников. Все функции те же, что в подписке, ключ на год, продление тоже бесплатное. Отличаются поддержка и то, что происходит, если сотрудников больше 50.
Как получить ключ?
Оставьте заявку. Мы проверим её, заведём вашу организацию в кабинете и пришлём приглашение на рабочую почту. Ключ вы получите в кабинете одной кнопкой.
Что будет, если сотрудников больше 50?
Смена и восстановление паролей не остановятся. С первого дня интерфейс администратора предупредит о превышении, через 14 дней на портале появится красная плашка, сбросится оформление и остановятся напоминания, через 30 — интерфейс администратора закроется до установки подходящего ключа. Вернулись в 50 — ограничения снимаются. Или перейдите на подписку до 100.
Что если не продлить?
Продлить ключ можно в кабинете за 30 дней до окончания. Не продлили — как с истёкшей подпиской: портал для сотрудников работает, через 14 дней на нём появится красная плашка, через 30 — закроется интерфейс администратора до установки ключа.
Можно попробовать без ключа?
Да. Без ключа letmein 30 дней работает со всеми функциями. После этого, пока не установлен ключ, портал не меняет и не восстанавливает пароли. Ключ — бесплатный до 50 сотрудников или подписка — включает всё сразу, без переустановки и перезапуска.
Как считаются сотрудники?
Только живые: включённые учётные записи людей в области каталога, которую вы настроили. Не считаются неактивные больше 90 дней, сервисные, с истёкшим сроком и те, что вы исключили фильтром. Цифра видна в интерфейсе администратора.
Какая поддержка?
Обновления продукта и исправления безопасности — те же, что у подписки. Документация. Вопросы на почту — ответ по возможности, ориентир до 5 рабочих дней, без гарантированных сроков. Без телефона и без помощи с установкой. У подписки поддержка с гарантированным временем ответа по договору.
Проверьте на своём домене
Пилот ставится за час на отдельный узел. Понадобятся два делегированных права и тестовое подразделение.