Cómo forzar un cambio de contraseña en Microsoft 365 sin restablecer la contraseña

Recientemente se formuló una pregunta en el foro de preguntas y respuestas de Microsoft sobre si es posible forzar un restablecimiento de contraseña en usuarios de Microsoft 365 solo en la nube sin tener que restablecer primero su contraseña de usuario.

En el escenario, el administrador de Microsoft 365 modificó la política de contraseña predeterminada en Microsoft 365; sin embargo, sin un cambio de contraseña, los usuarios aún no tienen contraseñas que se ajusten a la nueva política.

Anteriormente, con Active Directory local, podía marcar una casilla para forzar un cambio de contraseña para un usuario en el siguiente inicio de sesión. Con Microsoft Entra ID (o Microsoft 365), dicha opción no existe a través del portal web.

Afortunadamente, aún podemos garantizar que en el próximo inicio de sesión se requiera un cambio de contraseña modificando la configuración del perfil de contraseña de los usuarios mediante Microsoft Graph PowerShell.

Permisos necesarios para Microsoft Graph

La modificación del perfil de contraseña del usuario requiere que se otorgue un cierto nivel de permiso a la aplicación Microsoft Graph. Se podría haber asumido que para modificar la configuración del usuario sería suficiente el permiso User.ReadWrite.All; sin embargo, modificar la configuración de la contraseña de un usuario es una acción protegida que no se puede realizar solo con ese permiso.

En su lugar, se requiere el permiso Directory.AccessAsUser.All, que otorga automáticamente al usuario que se conecta a la aplicación los mismos permisos que el rol de Entra que ha asignado.

Entonces, en este caso, la aplicación debe tener el permiso Directory.AccessAsUser.All otorgado por adelantado y luego podrá conectarse a ella con una cuenta asignada al rol de Administrador de usuarios.

Para obtener más información sobre el permiso Directory.AccessAsUser.All, consulte la publicación de mi blog: Cómo simplificar el uso de Microsoft Graph PowerShell con PIM

Actualizar el perfil de contraseña de un usuario con Microsoft Graph

Comience conectándose a Microsoft Graph con los ámbitos de permisos necesarios. Para otorgar inicialmente los permisos a la aplicación Microsoft Graph, debe utilizar una cuenta de Administrador global.

Connect-MgGraph -Scopes Directory.AccessAsUser.All

Luego, defina la tabla hash del perfil de contraseña y ejecute el comando Update-MgUser:

$PasswordProfile = @{
  ForceChangePasswordNextSignIn = $true
}

Update-MgUser -userid %upn% -PasswordProfile $PasswordProfile