Windows Server 2012 R2 透過 IIS 實現 AD 帳號密碼自助修改：完整部署指南

企業環境中，非域加入電腦（Mac、Linux、個人裝置）、使用第三方郵件系統（騰訊/網易企業郵箱）或無法存取內部網路的員工，在 AD 密碼到期時往往無法自行變更。Windows Server 2012 R2 內建的「遠端桌面 Web 存取」(RD Web Access) 功能，配合 IIS 可快速建立密碼自助修改入口，解決此痛點。

架構原理

• 安裝「遠端桌面服務」角色中的「遠端桌面 Web 存取」角色服務
• 自動在 IIS 建立 /RDWeb 應用程式，包含密碼變更頁面
• 透過 IIS 應用程式設定啟用 PasswordChangeEnabled
• 使用者以 AD 帳號登入即可修改密碼，無需 VPN 或域加入

第一階段：安裝角色與功能

1. 開啟「伺服器管理員」→「管理」→「新增角色與功能」
2. 選「角色型或功能型安裝」→ 選取本機伺服器
3. 勾選「Web 伺服器 (IIS)」與「遠端桌面服務」
4. 「Web 伺服器」角色服務保持預設（含 ASP.NET 4.5、Windows 驗證等）
5. 「遠端桌面服務」→ 勾選「遠端桌面 Web 存取」
6. 確認安裝選項 → 「安裝」→ 等待完成

第二階段：啟用密碼修改功能

1. 開啟「IIS 管理員」→ 左側連線樹展開伺服器 → 「網站」→「預設網站」→「RDWeb」
2. 雙擊中間面板「應用程式設定」
3. 找到 PasswordChangeEnabled → 雙擊編輯
4. 將值從 False 改為 True → 確定

第三階段：驗證與自訂

1. 瀏覽器存取 https://<server>/RDWeb/Pages/PasswordChange.aspx
2. 輸入網域帳號（格式：domain\user 或 user@domain.com）、舊密碼、新密碼 → 送出
3. 顯示「密碼變更成功」即完成

介面自訂：頁面標題「密碼修改平台」可修改 IIS 中 RDWeb 應用程式的 App_GlobalResources 資源檔或直接編輯 .aspx 頁面。

常見問題與解決

安全性建議

• 強制 HTTPS：取得有效憑證，停用 HTTP 繫結
• 限制存取 IP：IIS「IP 位址與網域限制」模組僅允許內網/VPN IP 區段
• 啟用帳號鎖定保護：避免暴力破解
• 定期審計：查看 IIS 日誌與 AD 安全性事件記錄 (Event ID 4723, 4724)

結語

此方案零成本、零第三方元件、完全整合 AD 原生密碼原則，適合中小企業快速部署密碼自助服務。若需更豐富功能（解鎖、MFA、多語系），可考慮 Azure AD 自助式密碼重設 (SSPR) 或第三方身分管理平台。