1、在创建用户时，需要将该密码策略勾选上，即启用用户密码控制策略，并强制用户下次登录时需修改密码。

2、应修改密码该功能，需要通过策略服务器给终端下发消息，强制修改密码，故需启用策略服务器功能

你遇到的“跳过”现象，很可能并非策略失效，而是 Portal认证页面显示异常，或是对该策略工作机制的误解。要强制用户修改密码，关键在于正确配置并理解其行为。

 第一步：正确配置密码策略

强制修改密码的功能需要两项配置配合生效。

1. 启用全局密码控制策略
   首先，必须在iMC平台启用全局密码控制策略。路径为：“用户” > “接入策略管理” > “业务参数配置” > “系统设置” > “用户密码控制配置”。

   注意：此处配置的密码策略适用于接入用户。而“系统管理”下的“密码控制策略”是针对iMC管理员的，两者不同。

2. 为用户账号开启“下次登录须修改密码”
   全局策略启用后，就可以对单个用户操作了。

   • 对于新用户：在 “用户” > “接入用户” > “增加接入用户” 页面，勾选 “下次登录须修改密码”。

   • 对于已有用户：在接入用户列表中，找到相应用户并修改其信息，在“接入信息”中勾选 “允许用户修改密码”，并将 “下次登录修改密码” 设为 “是”。

   • 批量操作：也可以通过 “用户” > “批量操作”，选择“批量账号维护”来为多个用户开启此功能。

 第二步：理解“跳过”现象与解决方法

正确配置后，用户首次认证成功时会看到一个密码修改页面。如果用户“跳过”或没看到此页面，通常有以下几种可能：

• 页面显示异常（最常见原因）：部分浏览器（尤其是手机浏览器）可能无法正常弹出修改密码的页面，导致用户以为可以跳过。

  • 解决方法：建议用户更换浏览器或使用电脑尝试。同时，可以检查iMC服务器的 “用户” > “用户接入日志” > “接入明细”，看该用户的在线时长是否规律性地在10分钟左右。这是该策略的默认行为——若不修改密码，系统会强制其10分钟后下线。

• 客户端兼容性问题：如果使用的是iNode客户端，需要确保客户端版本与策略兼容。可以尝试清除iMC上的无感知认证记录，并在设备侧将该用户强制下线后重新测试。

• 未真正启用策略：再次确认“用户密码控制配置”已全局启用，且用户账号的“下次登录修改密码”选项确实已勾选。

 第三步：验证与兜底措施

1. 查看接入明细日志：在 “用户” > “用户接入日志” > “接入明细” 中查看用户日志，确认是否有强制下线的记录，以此判断策略是否生效。

2. 手动重置密码（兜底方案）：如果用户始终无法自行修改，管理员可以：

   • 在“接入用户”管理中，手动为用户重置一个新密码。

   • 重置后，取消该用户账号上 “下次登录须修改密码” 的勾选。

   • 将新密码告知用户，让其使用新密码正常登录。

iMC‑EIA Portal：勾选 “下次登录需修改密码”，但 Portal 页面点【完成】可以跳过改密码

现象：接入用户勾选启用用户密码控制策略 + 下次登录需修改密码；Portal 认证成功后推送修改密码页面，用户不填新旧密码，直接点右上角完成按钮，直接上网，绕过强制改密码流程。 根因：Portal 改密码页面右上角【完成】是前端页面按钮，老版本 EIA 仅做前端提示，后端鉴权没有拦截；“十分钟后强制下线” 是提醒，不是实时阻断，用户可以直接点完成跳过页面直接放行网络访问Hewle...。

一、区分两个按钮逻辑

1. 提交按钮：真正执行密码修改，必须填写原密码、新密码、确认密码；密码校验通过才修改密码，清除 “下次登录修改密码” 标记。
2. 右上角【完成】按钮（问题根源）：老版本模板逻辑：不修改密码，关闭改密码页面，直接放行网络，保留用户 “下次登录需修改密码” 标记。

页面提示 “十分钟内修改密码，否则强制下线”，是超时后才踢下线，不是立即阻断，用户可以直接上网十分钟。

二、解决办法（按优先级执行）

方案 1：升级 EIA（UAM）补丁版本（根治，推荐）

该 Portal 修改密码页面右上角 “完成” 按钮可绕过，是 iMC EIA 已知问题。

• EIA 版本：E0630P10 及以后补丁修复该问题，修复后：用户标记 “下次登录修改密码” 时，右上角完成按钮置灰不可点击，仅保留【提交】按钮；必须提交修改密码成功，才能完成 Portal 接入上网HPE Aruba ...。

操作：登录 H3C 服务支持平台，下载对应 iMC 版本 EIA/UAM 的最新补丁包，升级 EIA 组件。升级完成后重新发布 Portal 页面模板，清空浏览器缓存测试。

方案 2：修改 Portal 页面模板，删除 / 禁用右上角【完成】按钮（临时规避，不升级版本）

1. iMC Web 页面：【业务】‑【接入管理】‑【Portal】‑【Portal Web 服务器】‑【页面文件】，找到你正在使用的触摸版 Portal 改密码页面（modifyPwd_touch.html）。
2. 编辑该页面模板，删除右上角 “完成” 按钮代码块，页面只保留【提交】按钮；没有完成按钮，用户只能填写密码提交。
3. 保存模板，重新应用到 Portal Web 服务器，清空终端缓存测试。

⚠️模板修改属于定制页面，iMC 版本升级会覆盖自定义页面，升级后需要重新修改。

方案 3：业务策略兜底（补丁升级前过渡方案）

即使页面绕过，后端用户属性标记 “下次登录修改密码” 仍然存在。

1. 用户跳过改密码，只能使用 10 分钟，超时 EIA 主动踢用户下线；用户再次 Portal 重定向，又会再次推送强制改密码页面。
2. 不支持直接禁止这 10 分钟窗口，这是老版本设计机制。
3. 禁止 iNode 透明认证：对标记 “下次登录修改密码” 用户，不允许透明 Portal 认证，每次强制弹出 Web 改密码页面。

EIA 配置：接入服务参数，关闭 “密码需修改用户允许透明认证” 选项。

三、配置校验检查清单（确认基础配置无误）

1. 用户属性：接入用户，勾选 ✅启用用户密码控制策略；✅下次登录需修改密码
2. 用户接入服务，绑定 Portal 服务。
3. 密码控制策略已经配置密码复杂度。
4. 确认测试账号：display uam user username xxx查看用户标记 password‑must‑change=true。

• password‑must‑change=true：代表标记下次登录修改密码；修改密码成功后该字段变为 false。

四、常见误区

❌误区：勾选 “下次登录需修改密码”，Portal 页面原生就会禁止点完成。 ✅真相：旧版本 EIA 页面右上角完成按钮是页面跳转按钮，后端没有拦截；仅靠 10 分钟定时器踢用户，所以可以短暂绕过上网，必须升级补丁或者修改页面模板去掉完成按钮。

❌误区：iNode 客户端 Portal 会有同样问题。 ✅真相：iNode 客户端 Portal 不受该 Web 页面问题影响，iNode 客户端不提供 “完成” 跳过按钮，必须修改密码。该漏洞只发生在浏览器 Web Portal 触摸版页面。

五、版本行为对比

表格

排错关键点

1. 修改模板后，务必重新发布 Portal 页面，手机清除浏览器缓存，无痕模式测试；浏览器会缓存旧 portal html，修改不生效。
2. 升级 EIA 补丁之后，不需要重建用户，原有标记 “下次登录修改密码” 的账号直接生效。
3. 如果是第三方定制 Portal 页面，必须同步修改页面逻辑，不能依赖 iMC 原生修复。

总结：最优方案是升级 EIA 组件到 E0630P10 以上补丁；临时应急可以修改 modifyPwd_touch.html 模板删除右上角完成按钮。