EP04. "密码重设不用天天麻烦 IT，让员工自己搞定"
🔒 登录后可标记已读- 重设密码是 helpdesk 最高频、也最消耗人力的工单之一——这篇讲 自助密码重设（SSPR，Self-Service Password Reset），让员工自己在登录页面就能安全地重设密码，不用每次都打电话麻烦 IT。
- 学完能做到：说得出 SSPR 怎么保证"确实是本人在重设密码，不是坏人冒充"，也知道 2026 年这项功能即将有的一个重要变化。
- 一句话记住这条功能的价值：降低 helpdesk 的重复工作量，同时不牺牲安全性。
重点内容
SSPR 解决什么问题
使用者忘记密码/账户被锁，传统做法要打电话给 helpdesk，等人工核实身份、手动重设——每一次都要花 IT 的时间，使用者也要等。SSPR 让使用者自己在登录页面（或专属的密码重设入口）就能完成整个流程，不需要任何管理员介入，同时套用管理员事先设定好的安全验证方式，确保重设的人真的是账户本人。
SSPR 的完整流程
- 语言/地区适配——系统按浏览器语言设置显示对应语言的页面。
- CAPTCHA 验证——先确认操作者是真人，不是自动化脚本在批量攻击。
- 身份验证——这是最关键的一步：使用者要透过管理员事先设定好的方式证明自己是账户本人（下面详细讲有哪几种方式）。
[截图：自助密码重设登录页面，要求使用者选择验证方式的画面]
- 通过验证后，允许输入新密码并确认。
- 系统会发出确认通知，告知密码已经重设成功。
- 管理员还能自定义这个重设页面的外观（比如放上公司 Logo），让员工在使用时更有熟悉感、更信任这是官方流程，而不是钓鱼页面。
为什么身份验证这一步特别重要
"忘记密码"这个功能天生就是坏人最爱利用的攻击入口——如果验证机制不够严谨，攻击者可能冒充是账户本人，通过"忘记密码"这条路径把账户секьюрити码/新密码发到坏人自己控制的邮箱/手机上，趁机接管账户。所以 SSPR 在放行"设新密码"这一步之前，一定要先确认操作者的身份。
常见验证方式（建议至少启用两种以上）
- 手机 App 推送通知——用 Microsoft Authenticator App（呼应 EP07 讲的 MFA），收到通知后点批准。
- 手机 App 一次性验证码——App 里显示的动态验证码，手动输入。
- 短信验证码 / 邮箱验证码——相对方便，但安全性略低于 App 方式（短信可能被拦截，如果邮箱本身也被攻破就失去验证意义）。
- 管理员在配置 SSPR 时，可以选择开放哪几种验证方式给使用者选，建议至少开两种以上，让使用者能选一种自己方便使用的。
📌 2026 年的重要变化：验证方式必须是"已注册"的
微软官方公告：从 2026 年 9 月 7 日起，Microsoft Entra ID 的 SSPR 会要求验证方式必须是使用者事先明确注册过的——不能再依赖"目录里存的联系方式"（比如管理员当初建账户时随手填的一个邮箱/电话）当作验证依据。这是安全性的进一步收紧：如果员工的验证方式还没在 Authenticator App 或对应设置页面正式注册过，到时候可能无法顺利完成密码自助重设。IT Support 现在就该提醒同事尽早把自己的验证方式注册好，不要等到临时要用的时候才发现卡关。
常见误区 / 踩坑提醒
- 只启用一种验证方式（比如只用短信）——建议开放两种以上，短信这类相对不安全的方式最好搭配 App 验证一起用，单一验证方式一旦失效（比如换手机号还没更新），使用者会彻底卡在无法自助重设的窘境。
- 以为 SSPR 只是"图个方便"、跳过安全考虑——SSPR 的核心价值恰恰是"方便"和"安全"要同时兼顾，身份验证这一步做得不严谨，反而给攻击者开了后门。
- 没有提前让员工注册好验证方式，等 2026 年 9 月新规则生效后才发现员工没法自助重设密码——这是当下（2026 年）就该提前处理的事，不要临到变更生效日才手忙脚乱。
Sources
Udemy（课程 transcript）：
- IT Support Technical Skills Bootcamp — Section 12, Lecture 108（自助密码重设 SSPR：流程与验证方式）
官方文档 / 网络资料补充： （课程录制时 SSPR 尚无此项新规则，本篇补充 2026 年最新政策变化）