【发布时间】：2021-02-17 13:36:18
【问题描述】：
文档似乎表明密码写回需要自助服务密码重置，但您是否需要为任何用户启用 SSPR？ 我的目标是允许登录用户在 AAD 中更改自己的密码，然后通过 ADConnect 将新密码写回 ADDS。 但我们不想启用 SSPR 并允许“未经身份验证”的用户更改他们的密码。 所以我想我不能将任何用户/组添加到启用 SSPR 的设置中，但密码写回应该仍然适用于所有其他用户？
【问题讨论】：
【发布时间】：2021-02-17 13:36:18
【问题描述】：
与您所说的相反，密码写回是使用 SSPR 的要求。如果你能提供你所指的文件，我可以看看。
根据您的要求，您必须在 AD Connect 中启用密码写回，然后配置 SSPR。在 SSPR 选项下，您可以添加一个组，并且只有该组的成员才能重置密码。
对于您的 AAD 租户中的其他同步用户，只有管理员才能为他们重置密码。用户将无法自行重置密码。
如果这有帮助，请告诉我。
【讨论】：
-
非常感谢。需要明确的是，如果我们在 ADConnect 中启用密码写回，用户是否能够使用 myaccount.microsoft.com 或类似名称更改自己的密码？如果他们的密码仍然有效，这会起作用吗？如果他们的密码已经过期但他们仍然知道它会起作用吗？
-
他们只有在明确启用 SSPR 时才能更改它。启用密码写回仅允许管理员重置同步用户的密码。
-
真可惜。谢谢@abhijeetKohli
-
您甚至可以通过在 onprem 广告中不允许 AD Connect 服务帐户 apt 权限重置/更改用户密码来阻止管理员更改权限。权限记录在docs.microsoft.com/en-us/azure/active-directory/authentication/…