Настроить самостоятельный сброс пароля пользователями в Yandex Identity Hub

Статья создана

Улучшена

Обновлена 29 октября 2026 г.

С помощью политик MFA вы можете разрешить самостоятельный сброс пароля (SSPR — self-service password reset) для локальных пользователей Yandex Identity Hub.

Чтобы настроить для пользователей возможность самостоятельного сброса пароля:

Интерфейс Cloud Center

Terraform

API

Войдите в сервис Yandex Identity Hub.
На панели слева выберите Настройки безопасности.
Перейдите на вкладку Политики MFA.
В списке политик MFA в строке с нужной политикой нажмите значок и выберите Редактировать. Если у вас нет политики MFA, создайте новую политику. В открывшемся окне:
1. Чтобы включить возможность самостоятельного сброса пароля для пользователей, добавленных в целевую группу политики MFA, в блоке Самостоятельный сброс пароля:
  1. Включите опцию Разрешить сброс пароля.
  2. В поле Способ сброса выберите как минимум один способ верификации пользователя при сбросе пароля:
  - Последовательный ввод двух любых аутентификаторов — способ сброса, при котором пользователь может подтвердить личность поочередно с помощью двух любых способов верификации (например, TOTP и код из SMS).
    
    Чтобы пользователь мог воспользоваться этим способом сброса пароля, для его аккаунта должны быть заданы как минимум два любых фактора MFA. В противном случае сбросить пароль пользователя сможет только администратор пула пользователей.
  - FIDO2 с обязательным подтверждением личности пользователя (User Verification) — способ сброса, при котором пользователь может подтвердить личность с помощью FIDO2-ключа или Passkey, но только если при этом пользователь проходит процедуру локальной проверки с помощью PIN-кода, биометрии или аналогичного механизма.
    
    Чтобы пользователь мог воспользоваться этим способом сброса пароля, для его аккаунта должен быть задан фактор MFA типа WebAuthn. В противном случае сбросить пароль пользователя сможет только администратор пула пользователей.
Примечание

Чтобы отключить для пользователей возможность самостоятельного сброса пароля, в блоке Самостоятельный сброс пароля отключите опцию Разрешить сброс пароля.
Нажмите кнопку Сохранить.

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробная информация о ресурсах провайдера в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

Для настройки SSPR используйте провайдер Yandex Cloud версии 0.239.0 или выше.

Откройте конфигурационный файл Terraform и добавьте параметр sspr_policies в описание нужной политики MFA — ресурса yandex_organizationmanager_mfa_enforcement:
```
resource "yandex_organizationmanager_mfa_enforcement" "example_mfa_policy" {
  name            = "<имя_политики>"
  organization_id = "<идентификатор_организации>"
  acr_id          = "<тип_фактора_аутентификации>"
  ttl             = "<время_жизни>"
  enroll_window   = "<срок_создания>"
  sspr_policies   = ["two-any", "mfa"]
}
```
sspr_policies — список разрешенных способов сброса пароля. Укажите одно или оба значения:
- two-any — подтверждение личности с помощью двух любых факторов MFA.
- mfa — подтверждение личности с помощью FIDO2-ключа или Passkey с обязательной локальной проверкой пользователя (User Verification), например с помощью PIN-кода или биометрии.
Чтобы отключить самостоятельный сброс пароля, задайте пустой список: sspr_policies = [].

Сохраните остальные параметры политики без изменений. Подробнее о параметрах ресурса yandex_organizationmanager_mfa_enforcement читайте в документации провайдера.

Если политика создана не в Terraform, сначала добавьте ее описание в конфигурационный файл с текущими значениями параметров и импортируйте ее в состояние Terraform:
```
terraform init
terraform import yandex_organizationmanager_mfa_enforcement.example_mfa_policy <идентификатор_политики>
```
Если политики MFA еще нет, создайте ее и добавьте пользователей в целевую группу.
Примените изменения:
1. В терминале перейдите в директорию с конфигурационным файлом.
2. Проверьте корректность конфигурации с помощью команды:
```
terraform validate
```
  Если конфигурация является корректной, появится сообщение:
```
Success! The configuration is valid.
```
3. Выполните команду:
```
terraform plan
```
  В терминале будет выведен список планируемых изменений: ресурсы и/или выходные переменные. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
4. Примените изменения конфигурации:
```
terraform apply
```
5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Воспользуйтесь методом REST API update для ресурса MfaEnforcement или вызовом gRPC API MfaEnforcementService/Update.

Настроить самостоятельный сброс пароля пользователями в Yandex Identity Hub

Полезные ссылки

Была ли статья полезна?

Настроить самостоятельный сброс пароля пользователями в Yandex Identity Hub

Полезные ссылкиПолезные ссылки

Была ли статья полезна?

Полезные ссылки