工作原理：Microsoft Entra 自助式密码重置

Microsoft Entra 自助式密码重置 (SSPR) 使用户能够更改或重置其密码，而不需要管理员或支持人员。 如果用户的帐户被锁定或用户忘记了自己的密码，他们可以按照提示取消对自己的阻止，回到工作状态。 当用户无法登录到其设备或应用程序时，此功能可减少呼叫支持人员的次数，降低生产力损失。

用户可以使用 SSPR 门户来重置或更改其密码。 用户必须首先注册其所需的身份验证方法。 当用户访问 SSPR 门户时，Microsoft Entra 平台会考虑以下因素：

• 如何本地化该页面？
• 用户帐户是否有效？
• 该用户属于哪个组织？
• 该用户的密码在哪个位置管理？

如果用户从某个应用程序或页面选择了“无法访问你的帐户”链接，或直接转到了 https://passwordreset.activedirectory.windowsazure.cn，则 SSPR 门户中使用的语言基于以下选项：

• 默认情况下，将使用浏览器区域设置以相应的语言显示 SSPR。 密码重置体验已本地化为 Microsoft 365 支持的相同语言。
• 如果要链接到采用特定本地化语言的 SSPR，请将 ?mkt= 连同所需的区域设置一起追加到密码重置 URL 末尾。
  • 例如，若要指定西班牙语 (es-us) 区域设置，请使用 ?mkt=es-us - https://passwordreset.activedirectory.windowsazure.cn/?mkt=es-us。

使用所需的语言显示 SSPR 门户之后，系统会提示用户输入用户 ID 并传递 captcha。 Microsoft Entra ID 现在通过执行以下检查来验证用户是否能够使用 SSPR：

• 检查用户是否已启用 SSPR。
  • 如果用户未启用 SSPR，则会要求用户联系其管理员来重置其密码。
• 检查用户是否具有针对其帐户定义且符合管理员策略的正确身份验证方法。
  • 如果策略仅要求使用一种方法，请检查用户是否为通过管理员策略启用的至少一种身份验证方法定义了合适的数据。
    • 如果未配置身份验证方法，则建议用户联系其管理员来重置其密码。
  • 如果策略要求使用两种方法，请检查用户是否为通过管理员策略启用的至少两种身份验证方法定义了合适的数据。
    • 如果未配置身份验证方法，则建议用户联系其管理员来重置其密码。
  • 如果为用户分配了 Azure 管理员角色，则会强制实施强双门密码策略。 有关详细信息，请参阅管理员重置策略差异。
• 检查是否在本地管理用户密码，例如，Microsoft Entra 租户使用的是联合还是密码哈希同步：
  • 如果已配置 SSPR 写回且在本地管理用户密码，则允许用户继续进行身份验证并重置其密码。
  • 如果未部署 SSPR 写回且在本地管理用户密码，则要求用户联系其管理员重置其密码。

如果前面的所有检查都已成功完成，则指导用户完成重置或更改其密码的过程。

若要开始使用 SSPR，请完成以下教程：

可以启用此选项在用户使用新式身份验证或 web 浏览器登录到任何使用 Microsoft Entra ID 的应用程序时要求用户完成 SSPR 注册。 此工作流包括以下应用程序：

• Microsoft 365
• Microsoft Entra 管理中心
• 访问面板
• 联合应用程序
• 使用 Microsoft Entra ID 的自定义应用程序

如果不需要注册，则在登录时不会提示用户，但用户可以手动注册。 用户可以访问 https://account.activedirectory.windowsazure.cn/PasswordReset/Register.aspx?regref=ssprsetup，或选择访问面板中“配置文件”选项卡下的“注册密码重置”链接。

为了在需要使用身份验证方法来重置或更改用户的密码时确保身份验证方法正确，你可以要求用户在某段时间过后确认其已注册的信息。 仅当你启用了“要求用户在登录时注册”选项时，此选项才可用。

有效值（用于提示用户确认其注册的方法）的范围为 0 到 730 天。 将此值设置为 0 意味着永远不会要求用户确认其身份验证信息。 使用组合注册体验时，用户需在重新确认其信息之前确认其身份。

如果为用户启用了 SSPR，则他们必须注册至少一种身份验证方法。 强烈建议你选择两种或更多种身份验证方法，让用户在无法使用所需的一种方法时，能够更灵活地选择其他方法。

以下身份验证方法可用于 SSPR：

• 移动应用通知
• 移动应用代码
• 电子邮件
• 移动电话
• 办公电话（仅适用于具有付费订阅的租户）
• 安全性问题

用户只有在注册了管理员启用的身份验证方法后，才能重置自己的密码。

你可以配置用户为了重置或解锁其密码而必须提供的可用身份验证方法的数目。 可将此值设置为 1 或 2。

用户应注册多种身份验证方法，以便在无法访问某一种方法时以另一种方式登录。

如果用户没有注册所需方法的最小数量，当用户尝试使用 SSPR 时，会看到错误页。 用户需要请求管理员重置其密码。 有关详细信息，请参阅更改身份验证方法。

使用移动应用作为密码重置方法（如 Microsoft Authenticator）时，如果组织尚未迁移到集中身份验证方法策略，则以下注意事项适用：

• 当管理员要求使用一种方法来重置密码时，验证码是唯一可用的选项。
• 当管理员要求使用两种方法来重置密码时，用户可以使用通知或验证码进行重置，此外还能使用其他任何已启用的方法。

用户可以在 https://account.activedirectory.windowsazure.cn/proofup.aspx?culture=en-US 中注册其移动应用。

如果最初的策略仅注册了一种身份验证方法用于重置或解锁，将其更改为两种方法会发生什么情况？

更改可用的身份验证方法也可能会给用户带来问题。 如果更改了可用的身份验证方法，则不具有可用的最小数据量的用户无法使用 SSPR。

请考虑以下示例场景：

1. 原始策略配置为需要两种身份验证方法。 该策略使用办公电话和安全提问。
2. 管理员将策略更改为不再使用安全提问，而是允许使用移动电话和备用电子邮件。
3. 未填写移动电话或备用电子邮件字段的用户现在无法重置密码。

SSPR 允许你为用户和标识管理员配置通知，以便及时获知密码事件。

如果此选项设置为“是”，则重置其密码的用户会收到一封告知其密码已更改的电子邮件。 该电子邮件通过 SSPR 门户发送到 Microsoft Entra ID 中存储的主要和备用电子邮件地址。 如果未定义主电子邮件地址或备用电子邮件地址，SSPR 将尝试通过用户主体名称 (UPN) 发送电子邮件通知。 不会向其他任何人告知已发生重置事件。

如果此选项设置为“是”，则全局管理员会通过其在 Microsoft Entra ID 中存储的主要电子邮件地址接收电子邮件。 该电子邮件告知另一位管理员已使用 SSPR 更改了他们的密码。

如果发现接收通知时出现问题，请检查垃圾邮件设置。

如果希望自定义管理员接收通知电子邮件，请使用 SSPR 自定义并设置自定义支持链接或电子邮件。

在混合环境中，可将 Microsoft Entra Connect 云同步配置为将密码更改事件从 Microsoft Entra ID 写回到本地目录。

Microsoft Entra ID 会检查当前的混合连接，并在 Microsoft Entra 管理中心内提供消息。 有关解决可能出现的错误的帮助，请参阅 Microsoft Entra Connect 疑难解答。

若要开始 SSPR 写回，请完成以下教程：

可以使用 Microsoft Entra 管理中心启用密码写回。 还可以暂时禁用密码写回，无需重新配置 Microsoft Entra Connect。

• 如果将此选项设置为“是”，则会启用写回。 联合的或密码哈希同步的用户无法重置其密码。
• 如果将此选项设置为“否”，则会禁用写回。 联合的或密码哈希同步的用户无法重置其密码。

默认情况下，Microsoft Entra ID 在执行密码重置时会解锁帐户。 为了提供灵活性，你可以选择允许用户在不需重置其密码的情况下解锁其本地帐户。 使用此设置可区分这两项操作。

• 如果设置为“是”，将为用户提供重置其密码和解锁帐户的选项，或者在无需重置密码的情况下解锁其帐户的选项。
• 如果设置为“否”，用户只能同时执行密码重置和帐户解锁的操作。

SSPR 在 Active Directory 中执行管理员发起的密码重置的等效操作。 如果你使用第三方密码筛选器来强制实施自定义密码规则，并且你要求在 Microsoft Entra 自助式密码重置期间检查此密码筛选器，请确保将第三方密码筛选器解决方案配置为应用于管理员密码重置场景。 默认情况下支持针对 Active Directory 域服务的 Microsoft Entra 密码保护。

所有企业到企业 (B2B) 配置完全支持密码重置和更改。 以下三种情况支持 B2B 用户密码重置：

• 已有 Microsoft Entra 租户的合作伙伴组织中的用户：如果合作伙伴已有 Microsoft Entra 租户，则遵守该租户中已启用的任何密码重置策略。 要使密码重置正常工作，合作伙伴组织只需确保启用 Microsoft Entra SSPR。 对于 Microsoft 365 客户，不会收取其他费用。
• 通过自助注册方式注册的用户：如果合作伙伴使用自助注册功能来访问租户，则可以使用已注册的电子邮件来重置密码。
• B2B 用户：使用新的 Microsoft Entra B2B 功能创建的任何新的 B2B 用户也可以使用他们在邀请过程中注册的电子邮件来重置其密码。

若要测试此方案，请通过这些合作伙伴用户之一转到 https://passwordreset.activedirectory.windowsazure.cn。 如果用户指定了备用电子邮件或身份验证电子邮件，则密码重置可按预期方式工作。

若要开始使用 SSPR，请完成以下教程：