Детализированная политика паролей в Active Directory

Детальная политика паролей (FGPP) позволяет создавать несколько политик паролей для определенных пользователей или групп. Доступно несколько политик паролей, начиная с версии Active Directory для Windows Server 2008. В предыдущих версиях AD можно было создать только одну политику паролей для каждого домена (с использованием политики домена по умолчанию).

В этой статье мы покажем, как создать и настроить несколько объектов настройки пароля в домене Active Directory.

Детализированные концепции политик паролей

Детализированная политика паролей позволяет администратору создавать несколько пользовательских объектов установки пароля (PSO) в домене AD. В PSO вы можете установить требования к паролю (длина, сложность, история) и параметры блокировки учетной записи. Политики PSO можно назначать конкретным пользователям или группам, но не контейнерам Active Directory (OU). Если PSO назначен пользователю, то параметры политики паролей из объекта групповой политики доменной политики по умолчанию больше не применяются к пользователю.

Например, с помощью политик FGPP можно повысить требования к длине и сложности паролей для учетных записей администраторов, сервисных учетных записей или пользователей, имеющих внешний доступ к ресурсам домена (через VPN или DirectAccess).

Основные требования для использования нескольких политик паролей FGPP в домене:

• Функциональный уровень домена Windows Server 2008 или новее;

• Политики паролей можно назначать пользователям или глобальным (!) группам безопасности;

• FGPP применяется целиком (некоторые настройки пароля нельзя задать в GPO, а некоторые — в FGPP)

Как создать политику установки паролей (PSO) в Active Directory?

В Windows Server 2012 и более поздних версиях вы можете создавать и редактировать детальные политики паролей из графического интерфейса консоли Центр администрирования Active Directory (ADAC).

В этом примере мы покажем, как создать и назначить отдельную политику паролей для группы Администраторы домена.

Запустите Центр администрирования Active Directory (

dsac.msc

), переключитесь на древовидное представление и разверните контейнер Система. Найдите Контейнер настроек пароля, щелкните его правой кнопкой мыши и выберите Новый -> Пароль Настройки.

Укажите название политики паролей (в нашем примере это Политика паролей для администраторов домена) и настройте ее параметры (минимальная длина и сложность пароля, количество хранящихся в истории паролей, настройки блокировки). , как часто менять пароль и т. д.).

msDS-PasswordSettings

msDS-LockoutDuration
msDS-LockoutObservationWindow
msDS-LockoutThreshold
msDS-MaximumPasswordAge
msDS-MinimumPasswordAge
msDS-MinimumPasswordLength
msDS-PasswordComplexityEnabled
msDS-PasswordHistoryLength
msDS-PasswordReversibleEncryptionEnabled
msDS-PasswordSettingsPrecedence

Обратите внимание на атрибут Приоритет. Этот атрибут определяет приоритет текущей политики паролей. Если объекту назначено несколько политик FGPP, будет применена политика с наименьшим значением в поле Приоритет.

Затем добавьте группы или пользователей в раздел Direct Applies To, чтобы применить политику (в нашем случае это администраторы домена). Мы рекомендуем применять политику PSO к группам, а не к отдельным пользователям. Сохраните политику.

После этого эта политика паролей будет применена ко всем членам группы «Администраторы домена».

Запустите «Пользователи и компьютеры Active Directory» (

dsa.msc

) консоли (с включенной опцией «Дополнительные возможности») и откройте свойства любого пользователя из группы «Администраторы домена». Перейдите на вкладку «Редактор атрибутов» и выберите параметр Созданный в поле Фильтр .

Найдите атрибут пользователя msDS-ResultantPSO . Этот атрибут показывает политику паролей, включенную для пользователя (

CN=Password Policy for Domain Admin,CN=Password Settings Container,CN=System,DC=active-directory,DC=com

).

Вы также можете получить текущую политику PSO для пользователя с помощью инструмента dsget:

dsget user "CN=Max,OU=Admins,DC=active-directory,DC=com" -effectivepso

Настройка детальной политики паролей (PSO) с помощью PowerShell

Вы можете управлять политиками паролей PSO с помощью PowerShell (на вашем компьютере должен быть установлен модуль Active Directory PowerShell).

Командлет New-ADFineGrainedPasswordPolicy используется для создания нового PSO:

New-ADFineGrainedPasswordPolicy -Name “Admin PSO Policy” -Precedence 10 -ComplexityEnabled $true -Description “Domain password policy for admins”-DisplayName “Admin PSO Policy” -LockoutDuration “0.20:00:00” -LockoutObservationWindow “0.00:30:00” -LockoutThreshold 6 -MaxPasswordAge “12.00:00:00” -MinPasswordAge “1.00:00:00” -MinPasswordLength 8 -PasswordHistoryCount 12 -ReversibleEncryptionEnabled $false

Теперь вы можете назначить политику паролей группе пользователей:

Add-ADFineGrainedPasswordPolicySubject “Admin PSO Policy” -Subjects “Domain Admins”

Чтобы изменить настройки политики PSO:

Set-ADFineGrainedPasswordPolicy "Admin PSO Policy" -PasswordHistoryCount:"12"

Перечислите все политики FGPP в домене:

Get-ADFineGrainedPasswordPolicy -Filter *

Используйте команду Get-ADUserResultantPasswordPolicy, чтобы получить результирующую политику паролей, применимую к конкретному пользователю.

Get-ADUserResultantPasswordPolicy -Identity jsmith

Имя PSO, применимое к пользователю, указывается в поле Имя.

Вы можете отобразить список политик PSO, назначенных группе Active Directory, с помощью командлета Get-ADGroup:

Get-ADGroup "Domain Admins" -properties * | Select-Object msDS-PSOApplied

Чтобы отобразить настройки политики паролей по умолчанию из объекта групповой политики доменной политики по умолчанию, выполните команду:

Get-ADDefaultDomainPasswordPolicy

P@ssw0rd

Pa$$w0rd