Configurer un flux de réinitialisation forcée du mot de passe dans Azure Active Directory B2C

Avant de commencer, utilisez le sélecteur Choisir un type de stratégie pour choisir le type de stratégie que vous configurez. Azure Active Directory B2C offre deux possibilités pour définir la façon dont les utilisateurs interagissent avec vos applications : via des flux utilisateurs prédéfinis ou via des stratégies personnalisées entièrement configurables. La procédure donnée dans cet article est différente pour chaque méthode.

Vue d’ensemble

En tant qu’administrateur, vous pouvez réinitialiser le mot de passe d’un utilisateur qui viendrait à l’oublier. Ou si vous souhaitez les forcer à réinitialiser le mot de passe. Cet article explique comment forcer une réinitialisation de mot de passe dans ces scénarios.

Quand un administrateur réinitialise le mot de passe d’un utilisateur via le portail Azure, la valeur de l’attribut forceChangePasswordNextSignIn est définie sur true. Le parcours de connexion et d’inscription vérifie la valeur de cet attribut. Une fois que l’utilisateur s’est connecté, si l’attribut a la valeur true, l’utilisateur doit réinitialiser son mot de passe. L’attribut repasse ensuite à la valeur false.

Le flux de réinitialisation du mot de passe s’applique aux comptes locaux dans Azure AD B2C qui utilisent une adresse e-mail ou un nom d’utilisateur avec un mot de passe pour la connexion.

Prérequis

Réinitialisation forcée du mot de passe à la connexion suivante

Pour forcer la réinitialisation du mot de passe à la connexion suivante, mettez à jour le profil de mot de passe du compte avec l’opération Mettre à jour l’utilisateur de Microsoft Graph. Pour ce faire, vous devez attribuer le rôle Administrateur d’utilisateurs à votre application Microsoft Graph. Suivez les étapes décrites dans Accorder le rôle Administrateur d’utilisateurs pour attribuer à votre application Microsoft Graph un rôle d’administrateur d’utilisateurs.

Dans l’exemple suivant, l’attribut forceChangePasswordNextSignIn du profil de mot de passe est mis à jour avec la valeur true, ce qui force l’utilisateur à réinitialiser le mot de passe lors de la prochaine connexion.

PATCH https://graph.microsoft.com/v1.0/users/<user-object-ID>
Content-type: application/json

{
    "passwordProfile": {
      "forceChangePasswordNextSignIn": true
    }
}

Une fois le profil de mot de passe du compte défini, vous devez également configurer un flux de réinitialisation forcée du mot de passe comme le décrit cet article.

Forcer la réinitialisation du mot de passe au bout de 90 jours

En tant qu’administrateur, vous pouvez fixer l’expiration du mot de passe d’un utilisateur à 90 jours à l’aide de MS Graph. Au bout de 90 jours, la valeur de l’attribut forceChangePasswordNextSignIn est définie automatiquement sur true. Pour forcer la réinitialisation de mot de passe au bout de 90 jours, supprimez la valeur DisablePasswordExpiration de l’attribut Stratégie de mot de passe du profil de l’utilisateur.

Dans l’exemple suivant, la stratégie de mot de passe est mise à jour avec la valeur None, ce qui force la réinitialisation de mot de passe après 90 jours :

PATCH https://graph.microsoft.com/v1.0/users/<user-object-ID>
Content-type: application/json

{
  "passwordPolicies": "None"
}

Si vous avez désactivé la complexité du mot de passe forte, mettez à jour la stratégie de mot de passe avec la valeur DisableStrongPassword :

PATCH https://graph.microsoft.com/v1.0/users/<user-object-ID>
Content-type: application/json

{
  "passwordPolicies": "DisableStrongPassword"
}

Une fois qu’une stratégie d’expiration du mot de passe a été définie, vous devez également configurer un flux de réinitialisation forcée du mot de passe, comme décrit dans cet article.

Délai d'expiration du mot de passe

Par défaut, le mot de passe est configuré pour ne pas expirer. Cependant, la valeur est configurable en utilisant la cmdlet Update-MgDomain dans le module Microsoft Graph PowerShell. Cette commande met à jour le tenant de sorte que tous les mots de passe des utilisateurs expirent au bout du nombre de jours configuré. Par exemple :

Import-Module Microsoft.Graph.Identity.DirectoryManagement

Connect-MgGraph  -Scopes 'Domain.ReadWrite.All'

$domainId = "contoso.com"
$params = @{
	passwordValidityPeriodInDays = 90
	passwordNotificationWindowInDays = 15
}

Update-MgDomain -DomainId $domainId -BodyParameter $params

Étapes suivantes

Configurez une Réinitialisation de mot de passe en libre-service.