Password Sync の仕組み

Password Sync を使用すると、ユーザーの Google Workspace と Cloud Identity のパスワードを Microsoft Active Directory から直接更新できます。

Password Sync は Google Workspace と Cloud Identity の管理者にご利用いただけます。

仕組み

Password Sync をインストールして設定すると、Active Directory ユーザーがパスワードを変更するたびに、更新後のパスワードが Google アカウントに送信されます。

1. ユーザーのパスワードが変更されると、更新リクエストがドメイン コントローラ（DC）に送信されます。
2. リクエストを受けた DC の Microsoft Windows が、新しいパスワードとユーザー名を使用して Password Sync のダイナミック リンク ライブラリ（DLL）を呼び出します。
3. GSPS がハッシュされたパスワードとユーザー名を DLL から受け取ります。
4. GSPS が LDAP を使用して Active Directory からユーザーのメールアドレスを取得します。
5. このサービスが Directory API を使用して Google アカウントを更新します。また、Google Workspace API が正常に動作するためには、いくつかのポートを開き、許可リストにホスト名を追加する必要があります。詳細
6. ユーザーが各自の Active Directory のパスワードを使用して Google アカウントにログインできるようになります。

技術的な詳細

• Active Directory では、パスワードは書き込み専用で保存され、LDAP を含めどのインターフェースでも読み取ることができません。そのため、従来の同期方式（Google Cloud Directory Sync など）ではパスワードにアクセスできません。パスワードを読み取るには、パスワードの設定時または変更時にキャプチャする必要があります。
• Password Sync には、LSA 通知パッケージとしてインストールされる「password_sync_dll.dll」という DLL が含まれています。LSA 通知パッケージについて詳しくは、Microsoft の記事をご覧ください。
• 特定の DC でパスワードの変更が行われると、DLL はユーザーの更新後のパスワードとユーザー名を受け取ります。パスワードの同期はパスワードの変更を受信した DC 上の Windows によってトリガーされるため、書き込み可能なすべての DC に Password Sync がインストールされている必要があります。パスワードを変更したのが管理者かエンドユーザーかにかかわらず、パスワードが更新されるたびに同期が実行されます。PasswordChangeNotify コールバック関数について詳しくは、Microsoft の記事をご覧ください。
• DLL はユーザー名とパスワードを受け取ると、ソルト付き SHA512 を使ってパスワードをハッシュして Password Sync サービスに送信します。
• Password Sync サービス（「password_sync_service.exe」）は DLL からユーザー名を受け取ると、そのユーザー名を基に、LDAP を使用して Active Directory でユーザーのメールアドレスを検索します。その後、Directory API を使って Google アカウントを更新します。Directory API によってパスワードが変更されると、一部のアプリケーションの OAuth トークンが取り消されるため、ユーザーは各自のユーザー名とパスワードでアプリケーションに再ログインしなければならない場合があります。
• Password Sync は、Microsoft のパスワード フィルタ プログラミングの考慮事項を遵守しています。詳しくは、Microsoft の記事をご覧ください。