Passwortablaufrichtlinie - Konfiguration

Überblick🔑

Die Richtlinie für den Passwortablauf ermöglicht es Administratoren, regelmäßige Passwortänderungen für alle Standardbenutzer in der Umgebung zu erzwingen. Ist diese Richtlinie aktiviert, müssen Benutzer, deren Passwörter den konfigurierten Zeitraum überschritten haben, ein neues Passwort festlegen, bevor sie sich anmelden können.

Bedingungen

• Private cloud oder On Premise Installation

• Zugang zum aqua Server und der Konfigurationsdatei (appSettings)

• aqua Version 26.26 oder höher

Konfigurationsparameter

Alle Einstellungen werden konfiguriert, indem die entsprechenden Schlüssel (Key) unter <appSettings> in der folgenden Datei auf dem aqua Server hinzugefügt werden:

aquaWebService\Web.config

Parameter	Default	Description
PasswordExpiryEnabled	false	aktiviert oder deaktiviert die Funktion global
PasswordExpiryDays	90	Anzahl der Tage, die ein Passwort gültig bleibt, bevor der Benutzer bei der nächsten Anmeldung gezwungen wird, ein neues festzulegen.
PasswordMinimumAgeHours	24	Mindestzeitraum (in Stunden), bevor ein Benutzer sein Passwort erneut freiwillig ändern kann
PasswordHistorySize	5	Anzahl der früheren Passwörter, deren Wiederverwendung blockiert wird. Auf 0 setzen, um die Überprüfung des Passwortverlaufs zu deaktivieren.
AccountLockoutEnabled	false	Ermöglicht die Kontosperrung nach wiederholten fehlgeschlagenen Anmeldeversuchen.
AccountLockoutMaxAttempts	5	Anzahl aufeinanderfolgender fehlgeschlagener Anmeldeversuche, bevor ein Konto gesperrt wird
AccountLockoutDurationMinutes	30	Dauer in Minuten, für die das Konto gesperrt bleibt

Fügen Sie den folgenden Block hinzu:

<!-- Passwords expire after 90 days; user must set a new one on next login.
     Setting to 0 disables password expiry. -->
<add key="PasswordExpiryDays" value="90" />

<!-- After a successful change, the user must wait 24 hours before changing again -->
<add key="PasswordMinimumAgeHours" value="24" />

<!-- Block reuse of the last 5 passwords (and trivial variations of them).
     Setting to 0 disables history checks. -->
<add key="PasswordHistorySize" value="5" />

<!-- Lock the account after 5 failed login attempts.
     Setting to 0 disables lockout. -->
<add key="AccountLockoutMaxAttempts" value="5" />

<!-- Keep the account locked for 30 minutes after lockout -->
<add key="AccountLockoutDurationMinutes" value="30" />

Um die jeweilige Funktion zu deaktivieren, setzen Sie entweder den Wert auf 0 oder lassen den Schlüssel vollständig weg.

Erste Aktivierung⏱️

Wenn die Funktion erstmals aktiviert wird, ist für alle bestehenden Benutzer kein Datum für die letzte Passwortänderung hinterlegt. Das System stuft die Passwörter daher sofort als abgelaufen ein. Jeder Benutzer muss bei der ersten Anmeldung nach der Aktivierung der Funktion ein neues Passwort festlegen. Planen Sie dies entsprechend ein und informieren Sie Ihre Benutzer im Vorfeld.

Wer ist betroffen

Die Richtlinie gilt für alle Standard-aqua-Benutzer, die sich über die native passwortbasierte Anmeldung von aqua authentifizieren. Die folgenden Benutzer sind standardmäßig ausgenommen und von keiner dieser Einstellungen betroffen:

• Technische Benutzer: Synchronisierungs- und API-Benutzer

• Benutzer, die sich per SAML, Active Directory oder LDAP authentifizieren

Ausnahme auf Benutzerebene – Serveradministratoren können einzelne Benutzer (z. B. den technischen Benutzer des Jira-Plugins) im Benutzerprofil von der Passwortablaufregelung ausnehmen.

Wichtig: Nutzer für das Jira-Plugin – manuelle Ausnahmeregelung erforderlich

Aufgrund der Implementierungsdetails der Jira-Plugin-Integration kann für Nutzer des Jira-Plugins nicht immer eine automatische Ausnahmeregelung gewährleistet werden. Bei der Aktivierung der Richtlinie für den Passwortablauf müssen Administratoren den Benutzer des Jira-Plugins manuell überprüfen und über die Benutzeroberfläche der Benutzerverwaltung von der Regelung ausnehmen. Der Schalter wird nur angezeigt, wenn die Funktion für den Passwortablauf aktiviert ist.

Kontosperrung

Wenn dieser Parameter aktiviert ist, werden Benutzerkonten nach einer konfigurierbaren Anzahl aufeinanderfolgender fehlgeschlagener Anmeldeversuche vorübergehend gesperrt. Um einen Benutzer sofort zu entsperren, kann ein Administrator das Benutzerkonto in der Benutzerverwaltung deaktivieren und wieder aktivieren. Technische Benutzer und extern authentifizierte Benutzer (AD/LDAP) sind von der Sperrung ausgenommen.

Bekannte Einschränkungen — Desktop Client

Die Passwortgültigkeitsdauer wird ausschließlich über den Web-Client durchgesetzt. Läuft das Passwort eines Benutzers ab, während dieser den aqua Desktop Client verwendet, kann er sich erst wieder im Desktop Client anmelden, nachdem das Passwort geändert wurde. Der Benutzer muss sich über den Web Client anmelden, um die Passwortänderung durchzuführen, anschließend ist die Anmeldung im Desktop Client wieder möglich.

Workarounds:

• Der Benutzer meldet sich über den Web Client an und durchläuft den Prozess zur Passwortänderung.

• Ein Administrator setzt das Passwort des Benutzers manuell zurück.