Permitir a los usuarios cambiar la contraseña caducada a través del acceso web de escritorio remoto en Windows Server 2016 / 2012R2

En este artículo, mostraremos cómo los usuarios remotos pueden cambiar sus contraseñas caducadas en una granja de Servicios de escritorio remoto (RDS) que ejecuta Windows Server 2016/2012 R2.

En Windows Server 2012 R2 / 2016 y Windows 10 / 8.1, el NLA (Autenticación de nivel de red) está habilitado para las conexiones de escritorio remoto de forma predeterminada. NLA no permite que los usuarios se conecten a través de RDP si sus contraseñas han expirado. Puede desactivar NLA (ref1, ref2), pero esto no es muy bueno en términos de seguridad. Cuando intenta conectarse al servidor RDSH (host de sesión de escritorio remoto) con una cuenta de usuario con la contraseña caducada, aparece el siguiente mensaje de error:

Ha ocurrido un error de autenticación.
No se puede contactar a la autoridad de seguridad local
Computadora remota: lonSrvRDS1
Esto podría deberse a una contraseña caducada.
Actualice su contraseña si ha caducado.

Por lo tanto, cuando se usa NLA, el problema de cambiar una contraseña caducada a través de RDP puede volverse casi irresoluble para los usuarios remotos que no tienen otras formas de iniciar sesión en la computadora o servidor corporativo. Ciertamente, puede pedir a sus usuarios que cambien sus contraseñas directamente en la sesión RDP por adelantado, pero no siempre funciona debido a un olvido común de los usuarios.

En Windows 2012 / R2 y versiones posteriores, una opción que permite a un usuario remoto cambiar su contraseña (actual o vencida) usando una página web especial en el Acceso web RD apareció el servidor. La contraseña se cambiará de la siguiente manera: un usuario inicia sesión en la página web de registro en el servidor con la función de acceso web de RD y cambia su contraseña mediante un formulario aspx especial.

Nota. En el obsoleto Windows Server 2003, puede utilizar una pequeña aplicación web IISADMPWD para el cambio de contraseña remota en el dominio (aunque no se admite oficialmente).

Una opción de cambio de contraseña remota está disponible en el servidor con la función Acceso web a Escritorio remoto (Acceso web RD), pero está deshabilitada de forma predeterminada. Para cambiar una contraseña, un script contraseña.aspx se utiliza, que se encuentra en C: Windows Web RDWeb Pages en-US.

Si está utilizando una versión localizada de Windows Server (sin paquete de idioma), la ruta al archivo password.aspx será diferente y se verá así: C: Windows Web RDWeb Pages fr-FR - para la edición francesa de Windows Server o C: Windows Web RDWeb Pages de-DE - para alemán.

Para habilitar la función de cambio de contraseña, debe abrir el Administrador de IIS consola en el servidor con la función de acceso web de RD configurada, vaya a [Server Name] -> Sitios -> Sitio web predeterminado -> RDWeb -> Páginas y abre la sección Configuraciones de la aplicación.

En el panel derecho, busque PasswordChangeEnabled parámetro y cambie su valor a cierto.

Reinicie IIS desde la consola o usando el iisreset mando.

Para verificar la disponibilidad de la página de cambio de contraseña, vaya a la siguiente página web:

https: //lonSrvRDS1/RDWeb/Pages/en-US/password.aspx

Después de cambiar correctamente la contraseña del usuario, debería aparecer el siguiente mensaje:

Your password has been successfully changed.

Haga clic en Aceptar y el usuario será redirigido a la página de inicio de sesión de RD Web. Si la contraseña del usuario no coincide con la política de contraseñas del dominio, aparecerá una advertencia:

Su nueva contraseña no cumple con los requisitos de longitud, complejidad o historial de su dominio. Intente elegir una nueva contraseña diferente.

Puede utilizar esta forma de cambio de contraseña en el servidor de acceso web a Escritorio remoto solo si Autenticación de formularios está habilitado en IIS en el servidor RDWA. No podrá cambiar la contraseña a través del formulario web de RD si el Autenticación de Windows se utiliza el método.

Ahora, cuando intente conectarse al servidor de acceso web de RD con la contraseña caducada, el usuario será redirigido a la página web password.aspx y se le ofrecerá cambiar su contraseña.

Consejo. Una funcionalidad similar para cambiar la contraseña en Windows Server 2008 R2 con el rol de acceso web de RD puede estar disponible después de instalar una actualización especial KB2648402.

Puede agregar un enlace al formulario de cambio de contraseña directamente al formulario web de registro en el servidor RDWeb. Esto permitirá a los usuarios cambiar su contraseña en cualquier momento sin esperar a que caduque.

Agreguemos un enlace a password.aspx a la página de inicio de sesión de RDWeb (cree una copia de seguridad del archivo password.aspx antes de editarlo).

1. En el servidor RDWeb, busque y abra el archivo C: Windows Web RDWeb Pages en-US login.aspx en cualquier editor de texto (prefiero Notepad ++);
2. Ir a la linea 583 y pega el siguiente código en él: <a href="https://lonSrvRDS1/RDWeb/Pages/en-US/password.aspx"> Password Reset Utility</a>
3. Guarde los cambios en el archivo login.aspx, reinicie el sitio web de IIS y asegúrese de que aparezca un vínculo a la página de cambio de contraseña en la página de inicio de sesión del servidor web de RD.

Ahora los usuarios remotos pueden cambiar la contraseña caducada en su granja de RDS sin la intervención del administrador.