Создание политики паролей с точной настройкой (пошаговое руководство)

Точные политики паролей позволяют администраторам применять разные политики паролей к конкретным пользователям или группам в Active Directory. Групповая политика позволяет использовать только одну политику пароля, которая обычно определяется в политике домена по умолчанию. Если вам нужно, чтобы конкретные пользователи или группы имели отдельную политику пароля, то вам необходимо использовать точные политики паролей.

В этом руководстве я покажу вам, как создать детализированную политику паролей с помощью консоли администратора Active Directory (ADAC) и PowerShell.

Создайте политику паролей с тонкой настройкой с использованием ADAC

Шаг 1: Установите инструменты администратора удаленного сервера (RSAT)

Возможно, у вас это уже установлено, если нет, то вам это понадобится. Это будет нужно, если вы используете консоль ADAC или PowerShell.

Если вам нужны шаги установки, то посмотрите моё руководство > Установка RSAT на Windows 10.

Шаг 2: Откройте Центр администрирования Active Directory

Шаг 3: В ADAC нажмите на ваш домен.

Шаг 4. Нажмите на папку Система.

Шаг 5. Нажмите на «Контейнер настроек пароля». Затем в правом верхнем углу нажмите на «новый» и «настройки пароля».

Теперь вы должны быть на экране настройки создания пароля.

Шаг 6: Теперь вы можете настроить параметры политики паролей.

В этом примере я хочу установить более надежный пароль для администраторов моего сервера.

Я назвал свою политику паролей «Server-Admin-PW-Policy» и установил приоритет 1.

Затем я изменил минимальную длину пароля на 15 и установил политику блокировки аккаунта.

Шаг 6: Далее вам нужно применить политику к пользователю или группе. В разделе «Применяется к каталогу» нажмите «Добавить».

Выберите пользователей или группы, к которым вы хотите применить политику паролей. В этом примере я назначаю это группе под названием "Серверные-Администраторы".

Нажмите OK

Нажмите OK на экране настройки создания пароля.

Готово. Вы завершили создание детализированной политики паролей.

Создайте подробную политику паролей с помощью PowerShell

Команда New-ADFineGrainedPasswordPolicy используется для создания новых политик управления паролями в Active Directory.

В этом примере я просто изменяю минимальную длину пароля, дал политике имя и назначил ей приоритет 1.

New-ADFineGrainedPasswordPolicy -name "Server-Admins-Policy" -Precedence 1 -MinPasswordLength 15

Теперь политика создана, ее нужно назначить пользователям или группе.

Add-ADFineGrainedPasswordPolicySubject -Identity "Server-Admins-Policy" -Subjects "server-admins"

-идентичность - это название политики, а -субъект - это название группы или пользователя, к которым вы хотите назначить эту политику.

Ресурсы

New-ADFineGrainedPasswordPolicy - Полная синтаксическая структура команды

Add-ADFineGrainedPasswordPolicySubject - Полная синтаксическая структура команды

Как просмотреть детализированные политики паролей

Довольно странно, что вы можете создать политику паролей в консоли, но нет возможности просмотреть эти политики. (Если есть способ, пожалуйста, напишите об этом в комментариях ниже).

Без проблем, мы можем использовать PowerShell, чтобы просмотреть все политики паролей домена.

Проверьте детализированные паролные политики

Get-ADFineGrainedPasswordPolicy -filter *

Вышеупомянутая команда отобразит все тонкие политики паролей домена.

Получите итоговую политику паролей для пользователя

Get-ADUserResultantPasswordPolicy -Identity UserName

Используйте эту команду, если у вас определено несколько детализированных паролей. Это покажет, какой из них применяется к пользователю.

Получить стандартную политику паролей домена

Get-ADDefaultDomainPasswordPolicy

Еще одним вариантом просмотра детализированных политик паролей является использование инструмента отчетности Active Directory.

Нажмите на Отчёты -> Безопасность -> Подробная политика паролей

Нажмите кнопку запуска, и вы увидите список всех доменных политик паролей с тонкой настройкой.

Вы можете видеть выше, что инструмент показывает, что у меня есть 3 детализированных политики паролей. Инструмент отчетности Active Directory включает более 200 предустановленных отчетов Active Directory.

Заключение

До Windows Server 2008 управление несколькими политиками паролей было очень сложным. С помощью тонко настроенных политик паролей вы можете легко создавать индивидуальные политики паролей для конкретных пользователей или групп. Это полезно для соблюдения отраслевых норм (PCI, HIPPA, SOX и т.д.) или для определения более надежных паролей для подмножества пользователей, таких как лица с привилегированными правами.