Synchroniser les mots de passe Active Directory et BPOS

Si Microsoft n’offre pas nativement de synchronisation des mots de passe entre Active Directory et BPOS, il existe quand même une solution tierce commercialisée par MessageOps si vous n’êtes pas développeur. Il faudra compter 7$ supplémentaire pour chaque utilisateur que vous voudrez synchroniser pour disposer d’une licence

perpétuelle ainsi que d’un an de support si vous avez moins de 250 utilisateurs. Au-delà de ce nombre, ou si vous êtes un partenaire Microsoft BPOS, des tarifications spéciales s’appliquent. Le logiciel peut être téléchargé gratuitement pour une évaluation. Il fonctionnera alors pour une durée de 30 jours et permettra de synchroniser jusqu’à 50 utilisateurs.

Ce logiciel de synchronisation comprend trois composants (Password Filter, Client Service, Server Service). Le Password Filter se charge d’intercepter le mot de passe envoyé au service LSA (Local Security Authority) des contrôleurs de domaine sollicités. Il envoie le mot de passe au service Client, installé également sur chaque contrôleur du domaine. Chaque service Client envoie à son tour le mot de passe au service Server, unique, installé sur un serveur membre de l’organisation, et c’est ce dernier qui se charge d’envoyer la demande de modification de mot de passe sur le compte BPOS. Par exemple, ce serveur peut être celui sur lequel vous avez installé les outils de synchronisation d’annuaire (DirSync) ou/et les outils de migration (Transporter). Voir figures 4 et 5.

Ce logiciel fonctionne avec ou sans la synchronisation d’annuaire (DirSync). Afin que les mots de passe soient acceptables sur BPOS, il est toutefois nécessaire que votre domaine Active Directory soit configuré pour disposer des mêmes règles de mots de passe complexes et de durée que celles définies sur BPOS. Côté Active Directory local, l’outil supporte Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2.

Une fois l’outil correctement installé et configuré, vous n’aurez plus à vous soucier des mises à jour des mots de passe coté BPOS. A chaque fois que l’utilisateur, un opérateur ou un administrateur changera le mot de passe coté Active Directory, celui-ci sera mis automatiquement à jour dans BPOS. Attention, la synchronisation n’est qu’unidirectionnelle, et vous devrez faire attention à ne plus changer les mots de passe directement dans BPOS.

De plus, cet outil permet de cibler via une requête LDAP qu’une partie de votre annuaire, ce qui pourrait vous permettre de séparer les utilisateurs dont les comptes auront leur mot de passe synchronisé de ceux qui ne l’auront pas, ce qui s’avère bien pratique si vous êtes dans une organisation mixte, avec des boîtes aux lettres locales et des boîtes aux lettres hébergées.