远程密码重置

在任何组织中，特权账户都拥有对关键系统和敏感数据的提升级访问权限，这使得它们成为网络攻击的高价值目标。为了最大限度地降低凭证被滥用或泄露的风险，实施强密码重置策略是健全的特权访问管理（PAM）策略的基础。

PAM360 通过其远程密码重置功能强化了这一安全框架——这一核心功能使管理员能够直接从 PAM360 控制台自动或按需轮换远程机器的密码。在具备必要的 管理员凭证 配置后，该流程可通过单击即可无缝执行，从而确保密码管理的一致性，减少人工干预，并保护整个企业范围内的特权凭证。

PAM360 支持对任何可通过命令行界面 (CLI) 访问且接受密码管理命令的资源类型进行远程密码重置。根据目标机器的连接状态，远程密码重置操作可通过两种模式执行：

• 无代理模式：PAM360 使用指定的管理员账户直接连接到目标系统，登录并执行密码重置。
• 无代理模式：专为位于非军事区（DMZ）或防火墙后方的系统设计，在这些环境中 PAM360 无法直接通信。此时，PAM360 代理将协助完成目标机器的密码重置操作。

此外，若您的环境未与 PAM360 服务器建立直接连接，但已安装 PAM360 应用程序网关且该网关已连接至 PAM360 服务器，则可通过应用程序网关执行密码重置操作。请参阅 此文档 以获取有关 PAM360 应用程序网关的更多详细信息。

阅读完本文后，您将详细掌握以下操作：

1. 何时通过 PAM360 执行远程密码重置？
2. 执行远程密码重置
3. 使用代理进行远程密码重置

1. 何时会通过 PAM360 进行远程密码重置？

具体而言，它发生在以下场景中：

• 用户通过 PAM360 发起密码重置：管理员或授权用户通过 PAM360 界面触发对远程资源（Windows、Linux、网络设备、数据库等）的更改密码操作。操作完成后，新密码将自动应用于远程系统。
• 计划或周期性密码重置：PAM360 可根据策略强制执行周期性密码轮换。在预定时间，它会自动重置远程资源上的密码。
• 访问控制工作流：对于已配置访问控制的账户，每当用户请求密码以建立连接时，系统会向用户提供当前密码。一旦用户会话结束，PAM360和远程资源上的密码都会自动轮换，从而确保安全性。

2. 执行远程密码重置

若要通过手动更改操作执行远程密码重置，请按照以下步骤操作：

1. 导航至“资源 ”选项卡下的“资源”部分，选择相关资源，并确定要对其执行远程密码重置的账户。
   或者，您也可以转到“资源”选项卡下的“密码”部分，直接查找所需的账户。
2. 点击需要更改密码的账户旁边的“账户操作”图标，并从下拉列表中选择“更改密码”。
   
3. 在弹出的表单中，输入新密码并确认。如有需要，可使用内置的 PAM360 密码生成器。
4. 启用“将密码更改应用到远程资源”选项。

   注意

   • 输入新密码时，管理员为该资源配置的任何密码策略都会自动生效。
   • 如果远程同步尝试失败，密码更改将不会保存在本地，以确保 PAM360 与目标系统之间的一致性。
5. 点击“保存”。您现已成功对所选帐户执行了按需远程密码重置。

若需批量对跨多个资源的多个账户执行远程密码重置，请按照以下步骤操作：

1. 导航至“资源”选项卡下的“资源”部分，选择所需的资源。
2. 在顶部窗格中单击 “资源操作”，然后从下拉列表中选择“重置密码”。
3. 在弹出的“重置密码”窗口中，在“密码分配”下，选择以下选项之一：
   1. 为每个账户生成唯一密码：PAM360 将为所选资源下的每个账户自动生成一个强且唯一的密码。
   2. 对所有账户使用此处指定的密码：输入一个将应用于所有账户的通用密码。您也可以选择使用 PAM360 内置的密码生成器。
4. 启用“将密码更改应用到远程资源” 选项，以 自动将 新密码推送至相应的远程系统。
   
5. 指定重置密码的原因，并选择需通过电子邮件通知的用户或用户组。您还可以输入多个电子邮件地址，用逗号分隔。
6. 点击“保存”。您现已成功对所选账户执行了按需远程密码重置。

请参阅 此文档 以了解有关配置定期密码重置的更多信息。

3. 使用 PAM360 代理进行远程密码重置

本节说明在何种情况下需要使用 PAM360 代理来重置远程机器上的本地账户密码，并提供故障排除技巧，以帮助管理员快速解决密码重置问题，确保安全性和合规性的持续性。

当 PAM360 代理首次在目标机器上安装并作为服务启动时，系统会自动发现该机器，并将其作为资源（连同所有关联的本地账户）添加到 PAM360 资源库中。部署完成后，代理将与 PAM360 服务器建立安全加密通道，以便在该机器上执行密码验证和密码重置等特权操作。

代理程序的运用确保了即使在无法直接与服务器通信的环境中，PAM360 也能执行密码重置操作。在以下场景中，代理程序尤为关键：

1. DMZ 中的密码重置：当需要重置位于非军事区 (DMZ) 或无法从 PAM360 服务器直接访问的隔离网络中的机器密码时，此功能必不可少。
2. 跨平台密码重置：当 PAM360 服务器托管在 Linux 平台上，但需要重置 Windows 设备上的密码时，此功能必不可少，可确保兼容性并安全执行。
3. 缺少管理员凭据：当远程资源的管理员凭据未存储在 PAM360 存储库中时，此功能非常有用。在这种情况下，代理程序可在机器本地协助执行密码重置操作。

3.1 故障排除步骤

如果密码重置操作在目标系统上未生效，请验证以下内容：

1. 用于安装代理的用户账户必须具备执行密码重置操作的充分权限。
2. 确保 PAM360 代理能够与 PAM360 Web 服务器通信。默认情况下，通信通过端口8282 进行。如果您为 Web 服务器配置了自定义端口，请更新代理配置以使用相同的端口。
3. 请验证 PAM360 代理配置文件中指定的 是否可达。如果不可达，请将其替换为可访问的 IP 地址或服务器名称，以便代理能够成功连接到 PAM360 Web 服务器。
4. 如果您无法查看已添加的资源，请验证 agent.conf 是否有效且可访问。

探索此内容 链接 ，了解如何在目标机器上安装 PAM360 代理。其他所有要求，例如 管理员凭据、执行 远程密码重置，均与上述内容保持一致。