在 Windows 登录屏幕上启用 Microsoft Entra 自助式密码重置

  • 项目

Microsoft Entra ID 中的自助式密码重置 (SSPR) 使用户能够更改或重置其密码，而不需要管理员或支持人员。 通常，用户会在另一台设备上打开 Web 浏览器，以访问 SSPR 门户。 若要在运行 Windows 7、8、8.1、10 和 11 的计算机上改善体验，可以允许用户在 Windows 登录屏幕上重置其密码。

Example Windows login screens with SSPR link shown

重要

本教程演示管理员如何为企业中的 Windows 设备启用 SSPR。

如果 IT 团队尚未启用从你的 Windows 设备使用 SSPR 的功能，或者你在登录过程中遇到问题，请联系支持人员以获得更多帮助。

一般限制

以下限制适用于在 Windows 登录屏幕上使用 SSPR：

  • 目前不支持从远程桌面或从 Hyper-V 增强式会话进行密码重置。
  • 已知某些第三方凭据提供程序会导致此功能出现问题。
  • 已知通过修改 EnableLUA 注册表项禁用 UAC 会导致问题。
  • 此功能不支持部署了 802.1x 网络身份验证的网络和“在用户登录前立即执行”选项。 对于部署了 802.1x 网络身份验证的网络，建议使用计算机身份验证来启用此功能。
  • 已加入混合 Microsoft Entra 的计算机必须能够通过网络连接到域控制器才能使用新密码以及更新缓存的凭据。 这意味着，设备必须位于组织的内部网络或 VPN 中，并且必须能够通过网络访问本地域控制器。
  • 如果使用映像，请确保在运行 sysprep 之前先为内置 Administrator 清除 Web 缓存，然后再执行 CopyProfile 步骤。 有关此步骤的详细信息，请参阅支持文章使用自定义默认用户配置文件时性能较差。
  • 已知以下设置会干扰在 Windows 10 设备上使用和重置密码的功能：
    • 如果锁屏通知已关闭，则“重置密码”将无效。
    • HideFastUserSwitching 设置为“已启用”或 1
    • DontDisplayLastUserName 设置为“已启用”或 1
    • NoLockScreen 设置为“已启用”或 1
    • BlockNonAdminUserInstall 设置为启用或 1。
    • 在设备上设置了 EnableLostMode
    • 将 Explorer.exe 替换为自定义 shell
    • “交互式登录：需要智能卡”被设置为“已启用”或 1
  • 组合使用下面三个特定的设置可能会导致此功能失效。
    • 交互式登录：不需要 CTRL+ALT+DEL = 禁用（仅适用于Windows 10 版本 1710 及更早版本）
    • DisableLockScreenAppNotifications = 1 或“已启用”
    • Windows SKU 为家庭版

注意

这些限制也适用于从设备锁定屏幕重置的 Windows Hello 企业版 PIN 码。

Windows 11 和 Windows 10 密码重置

若要配置 Windows 11 或 Windows 10 设备以便在登录屏幕上进行 SSPR，请查看以下先决条件和配置步骤。

Windows 11 和 Windows 10 先决条件

使用注册表为 Windows 11 和 Windows 10 启用

若要使用注册表项在登录屏幕上启用 SSPR，请完成以下步骤：

  1. 使用管理凭据登录到 Windows 电脑。

  2. 按 Windows + R 打开“运行”对话框，然后作为管理员运行 regedit。

  3. 设置以下注册表项：

    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\AzureADAccount
   "AllowPasswordReset"=dword:00000001

排查 Windows 11 和 Windows 10 密码重置问题

如果在 Windows 登录屏幕上使用 SSPR 时遇到问题，Microsoft Entra 审核日志会包含有关发生密码重置的 IP 地址和 ClientType 的信息，如以下示例输出所示：

Example Windows 7 password reset in the Microsoft Entra audit log

当用户在 Windows 11 和 10 设备的登录屏幕中重置其密码时，系统会创建名为 defaultuser1 的权限较低的临时帐户。 使用此帐户可以确保密码重置过程的安全。

该帐户本身有一个随机生成的密码，该密码会根据组织密码策略进行验证，不会在设备登录时显示，并且会在用户重置密码后自动删除。 可能存在多个 defaultuser 配置文件，不过可以放心地忽略它们。

Windows 密码重置的代理配置

在密码重置期间，SSPR 会创建一个临时本地用户帐户以连接到 https://passwordreset.activedirectory.windowsazure.cn/n/passwordreset。 为用户身份验证配置代理时，它可能会失败并出现错误“出现问题。请稍后重试。”这是因为本地用户帐户无权使用经过身份验证的代理。

在这种情况下，可以使用以下解决方法之一：

  • 配置一个计算机范围的代理设置，该设置不依赖于登录到计算机的用户的类型。 例如，可以为工作站启用组策略“按计算机（而不是按用户）进行代理设置”。

  • 如果为默认帐户修改注册表模板，则还可以将按用户代理配置用于 SSPR。 命令如下所示：

    reg load "hku\Default" "C:\Users\Default\NTUSER.DAT"
reg add "hku\Default\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d "1" /f
reg add "hku\Default\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d "<your proxy:port>" /f
reg unload "hku\Default"

  • 当任何事件中断与 URL (https://passwordreset.activedirectory.windowsazure.cn/n/passwordreset) 的连接时，也可能会发生错误“出现问题”。 例如，当防病毒软件在不排除以下 URL 的情况下，在工作站上运行时，可能会发生此错误：passwordreset.activedirectory.windowsazure.cn、ajax.aspnetcdn.com 和 ocsp.digicert.cn。 暂时禁用此软件以测试问题是否得到解决。

Windows 7、8 和 8.1 密码重置

若要配置 Windows 7、8 或 8.1 设备以便在登录屏幕上启用 SSPR，请查看以下先决条件和配置步骤。

Windows 7、8 和 8.1 先决条件

警告

必须启用 TLS 1.2，而不能仅仅设置为自动协商。

安装

对于 Windows 7、8 和 8.1，必须在计算机上安装一个小组件，才能在登录屏幕上启用 SSPR。 若要安装此 SSPR 组件，请完成以下步骤：

  1. 下载要启用的 Windows 版本的相应安装程序。

    Microsoft 下载中心 (https://www.microsoft.com/en-us/download/details.aspx?id=57343) 提供了该软件安装程序

  2. 登录到要在其中进行安装的计算机，然后运行安装程序。

  3. 安装完成后，强烈建议重新启动。

  4. 重新启动后，在登录屏幕上选择一个用户，然后选择“忘记了密码?”以启动密码重置工作流。

  5. 遵循屏幕上的步骤完成重置密码的工作流。

Example Windows 7 clicked

无提示安装

可以使用以下命令，在无提示的情况下安装或卸载 SSPR 组件：

  • 若要进行无提示安装，请使用命令“msiexec /i SsprWindowsLogon.PROD.msi /qn”
  • 若要进行无提示卸载，请使用命令“msiexec /x SsprWindowsLogon.PROD.msi /qn”

排查 Windows 7、8 和 8.1 密码重置问题

如果在 Windows 登录屏幕上使用 SSPR 时遇到问题，则计算机和 Microsoft Entra 中均会记录事件。 Microsoft Entra 事件包括有关发生密码重置的 IP 地址和 ClientType 的信息，如以下示例输出所示：

Example Windows 7 password reset in the Microsoft Entra audit log

如果需要记录更多的日志，可以更改计算机上的注册表项，以启用详细日志记录。 使用以下注册表项值启用详细日志记录（仅用于故障排除目的）：

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{86D2F0AC-2171-46CF-9998-4E33B3D7FD4F}
  • 若要启用详细日志记录，请创建 REG_DWORD: "EnableLogging" 并将其设置为 1。
  • 若要禁用详细日志记录，请将 REG_DWORD: "EnableLogging" 更改为 0。
  • 查看源 AADPasswordResetCredentialProvider 下应用程序事件日志中的调试日志记录。

用户看到什么

为 Windows 设备配置 SSPR 以后，对用户来说有什么变化？ 用户如何知道可以在登录屏幕上重置其密码？ 以下示例屏幕截图显示了可供用户使用 SSPR 重置其密码的更多选项：

Example Windows 7 and 10 login screens with SSPR link shown

用户在尝试登录时，可以看到“重置密码”或“忘记了密码”链接，该链接用于在登录屏幕上打开自助式密码重置体验。 此功能允许用户重置其密码，无需使用其他设备来访问 Web 浏览器。

可以在重置工作或学校密码中找到为用户提供的有关使用此功能的详细信息

后续步骤

若要简化用户注册体验，可以预填充用于 SSPR 的用户身份验证联系信息。