עמוד שינוי סיסמת VPN: התאמה למאגר הזהויות
הטופס אינו הסמכות. גלו איזה מאגר מחזיק בסיסמה, כתבו הוראות שמתאימות למדיניות שלו, ובדקו את מסלולי השינוי, הדחייה והאיפוס.
פתחו את עמוד שינוי הסיסמה וקראו אותו כפי שמשתמש היה קורא, ואז שאלו איזה שירות באמת מחזיק בהרשאה. העמוד הוא טופס; מאגר הזהויות הוא הסמכות. אם השניים אינם תואמים, המשתמש נתקל בסיסמה שנדחתה, באיפוס שלא מאפס דבר, או בהודעת הצלחה שלא משנה דבר. מעבר על הזרימה מהמסך אל הבקאנד הוא הדרך היחידה לתפוס זאת.
התחילו בסיווג הפעולה: שינוי רגיל, זרימת סיסמה שפג תוקפה, או שחזור לאחר סיסמה שנשכחה.
שלוש פעולות, שלוש זרימות עבודה
שינוי רגיל מניח שהמשתמש יודע את הסיסמה הנוכחית ויכול להוכיח זאת. זרימת סיסמה שפג תוקפה עשויה לאפשר הפעלה מוגבלת שבה רק השינוי מותר. שחזור לאחר סיסמה שנשכחה דורש הוכחת זהות שונה לחלוטין, והוא עשוי להיות מואצל לספק זהות במקום להיות מטופל בשער ה-VPN. לכל אחת יש נקודת קצה, תמיכת בקאנד וכללי הפעלה משלה, וטופס אחד אינו יכול לשרת את שלושתן כראוי.
בפריסה פדרטיבית ייתכן שהשער כלל לא אוסף סיסמה חדשה. בדקו אם הזרימה מפנה לספק הזהות ואם טקסט העמוד עדיין מתאר טופס מקומי.
מאין מגיעה המדיניות באמת
שאלו את בעל הזהות על האורך המותר, מערך התווים וכל מגבלה רלוונטית, ואז כתבו הוראות שמתאימות לכך. המצאת כללי הרכבה בטקסט העזרה, או הבטחת קבלה שהבקאנד דוחה, שניהם יוצרים קריאות תמיכה. הנחיות NIST לזהות דיגיטלית נוטות להדרכה ברורה ולמשוב שימושי במקום כללים שרירותיים, בעוד המדיניות האמיתית של הארגון עדיין מחייבת. פרסום אינו הוכחה שספרייה מסוימת כבר מתנהגת כך.
השאירו הודעות שגיאה שימושיות בלי לחשוף סודות. הודעה שמשקפת סיסמה שהוקלדה חלקית, או צילום מסך בקריאה שמכיל אחת, הופכים פריט תמיכה לחשיפת הרשאה.
ניסוח שמתאים לבקאנד
העמוד צריך לנקוב בשם זרימת העבודה במקום לתאר מדיניות באופן מופשט. אמרו היכן השינוי מתרחש, איזו הוכחה נדרשת ומה קורה להפעלות אחרות. אם השינוי מנתק את המשתמש בכל מקום, אמרו זאת; אם הוא משאיר מכשירים אחרים פעילים, אמרו גם זאת. משתמש מבולבל שמנסה שוב שינוי מוצלח הוא עלות תמיכה שניסוח טוב יותר מונע.
לוקליזציה יכולה לשנות את הטון של ההוראות; היא אינה יכולה לשנות את מה שהבקאנד מקבל.
בדקו את הזרימה, לא את העמוד
השתמשו בחשבון בדיקה מורשה ועברו על השינוי המתועד, מקרה דחייה, מקרה הסיסמה שפג תוקפה והכניסה שלאחר מכן. במקום שבו MFA או הפניה פדרטיבית הם חלק מהזרימה המאושרת, עברו גם על כך. עמוד שמוצג כראוי אימת את התצוגה ודבר אחר, כי שירות הזהות מחליט אם פעולת ההרשאה הושלמה.
תעדו את התוצאה של כל מקרה עם החשבון שבו השתמשו והשעה. זרימה שעובדת פעם אחת עבור מנהל ונכשלת עבור משתמש רגיל היא תוצאה נפוצה, והתיעוד הוא מה שהופך אותה לגלויה.
לאחר מכן עדכנו את העמוד כדי לתאר מה קרה בפועל. זו כל המשימה.