在域中配置多元密碼策略
阿新 • • 發佈：2018-01-19
ado mark 分析 使用 比較 history tin 多個 立即生效 任務要求
為解決這個問題，在Windows Server 2008中引入了多元密碼策略，從而滿足不同用戶對於安全性的不同要求。
多元密碼策略部署要求有以下幾點：
B. 如果一個用戶和組有多個密碼設置對象PSO（可以把PSO理解為和組策略對象GPO類似，通俗的理解為就是一條條的密碼策略），那麽優先級最小的PSO將最終生效;
C. 多元密碼策略只可以應用在用戶與安全組上，不能應用到計算機上，同時也不能直接應用到OU上。 
接下來修改msDS-PasswordSettingsPrecedence屬性，設置密碼的優先級，數值越小，優先級越高，這裏設為1。
接下來修改msDS-PasswordReversibleEncryptionEnabled屬性，可接受輸入的值為false/true。這項屬性用於設置是否啟用密碼可還原加密功能，開啟後可以用工具逆向還原出用戶的密碼，如果沒有特殊需求，建議設置為false。
接下來修改msDS-PasswordHistoryLength屬性，即強制密碼歷史，默認是24個，因為題目並沒有明確要求，這裏隨意設置為3個歷史密碼不能重復。
接下來修改msDS-PasswordComplexityEnabled屬性，即是否啟用密碼復雜性要求，這裏設為false。
接下來修改msDS-MinimumPasswordLength屬性，設置最短密碼長度，這裏按題目要求設置為3。
接下來修改msDS-MinimumPasswordAge屬性，設置密碼最短使用期限，要求輸入格式為00:00:00:00，這4段分別表示“天、小時、分、秒”，而且只可以輸入1天的整數倍，默認是使用1天後才能再次更改密碼。這裏輸入00:00:00:00，也就是可以立即更改密碼。
接下來修改msDS-MaximumPasswordAge屬性，設置密碼最長使用期限，默認是42天，這裏采用默認值。
接下來修改msDS-LockoutThreshold 屬性，即用戶帳戶的鎖定閾值，默認沒有限制，這裏設置為輸入3次錯誤密碼就自動鎖定。
接下來修改msDS-LockoutObservationWindow屬性，即多長時間復位帳戶鎖定計數器，這裏設置為30分鐘後復位。
接下來修改msDS-LockoutDuration屬性，也就是設置鎖定用戶帳戶的持續時間，這裏輸入鎖定30分鐘，需要註意此項數值一定要大於等於msDS-LockoutObservationWindow屬性的數值。
點擊下一步之後，PSO創建完成。
編輯完成後，打開屬性編輯器，找到msDS-PSOAppliesTo屬性，通過該屬性可以設置將PSO應用到哪些用戶或是組。
設置屬性，添加sales組。
至此配置完成，並且可以立即生效。嘗試為sales組中的用戶重置密碼，可以成功設置長度為3位的密碼了。
WorldSkills2017.china域裏的所有用戶密碼都要求啟用密碼復雜性，除了sales組。sales組密碼長度要求最少3位。
任務分析
世賽的難度還是比較大的，每一道題目雖然只有短短幾句話，但卻暗藏著一個巨大的坑，這道題目就是典型。
在默認的域策略Default Domain Policy裏，本身已經啟用了密碼復雜性，題目要求對某個組再設置單獨的密碼策略，起初本能的想到對這個組單獨設置組策略，但細究下去卻發現，如果使用組策略，那麽是無論如何也完成不了這個任務的。
百度了一番才知道，原來從Windows Server 2008系統開始，在域中引入了多元密碼策略(Fine-Grained Password Policy)的概念，通過多元密碼策略允許針對不同用戶或全局安全組應用不同的密碼策略，而這正是解開這道題目的正確鑰匙。
為解決這個問題，在Windows Server 2008中引入了多元密碼策略，從而滿足不同用戶對於安全性的不同要求。
多元密碼策略部署要求有以下幾點：
B. 如果一個用戶和組有多個密碼設置對象PSO（可以把PSO理解為和組策略對象GPO類似，通俗的理解為就是一條條的密碼策略），那麽優先級最小的PSO將最終生效;
C. 多元密碼策略只可以應用在用戶與安全組上，不能應用到計算機上，同時也不能直接應用到OU上。
任務實現
要實現多元密碼策略，主要是通過ADSI編輯器。打開ADSI編輯器，按照如圖所示展開至CN=Password Settings Container，並在上面右擊，選擇新建對象。
然後出現新建對象窗口，類別只有一個密碼設置，點擊下一步
接下來為PSO取個有意義的名字，便於自己管理。
接下來修改msDS-PasswordSettingsPrecedence屬性，設置密碼的優先級，數值越小，優先級越高，這裏設為1。
接下來修改msDS-PasswordReversibleEncryptionEnabled屬性，可接受輸入的值為false/true。這項屬性用於設置是否啟用密碼可還原加密功能，開啟後可以用工具逆向還原出用戶的密碼，如果沒有特殊需求，建議設置為false。
接下來修改msDS-PasswordHistoryLength屬性，即強制密碼歷史，默認是24個，因為題目並沒有明確要求，這裏隨意設置為3個歷史密碼不能重復。
接下來修改msDS-PasswordComplexityEnabled屬性，即是否啟用密碼復雜性要求，這裏設為false。
接下來修改msDS-MinimumPasswordLength屬性，設置最短密碼長度，這裏按題目要求設置為3。
接下來修改msDS-MinimumPasswordAge屬性，設置密碼最短使用期限，要求輸入格式為00:00:00:00，這4段分別表示“天、小時、分、秒”，而且只可以輸入1天的整數倍，默認是使用1天後才能再次更改密碼。這裏輸入00:00:00:00，也就是可以立即更改密碼。
接下來修改msDS-MaximumPasswordAge屬性，設置密碼最長使用期限，默認是42天，這裏采用默認值。
接下來修改msDS-LockoutThreshold 屬性，即用戶帳戶的鎖定閾值，默認沒有限制，這裏設置為輸入3次錯誤密碼就自動鎖定。
接下來修改msDS-LockoutObservationWindow屬性，即多長時間復位帳戶鎖定計數器，這裏設置為30分鐘後復位。
接下來修改msDS-LockoutDuration屬性，也就是設置鎖定用戶帳戶的持續時間，這裏輸入鎖定30分鐘，需要註意此項數值一定要大於等於msDS-LockoutObservationWindow屬性的數值。
點擊下一步之後，PSO創建完成。
編輯完成後，打開屬性編輯器，找到msDS-PSOAppliesTo屬性，通過該屬性可以設置將PSO應用到哪些用戶或是組。
設置屬性，添加sales組。
至此配置完成，並且可以立即生效。嘗試為sales組中的用戶重置密碼，可以成功設置長度為3位的密碼了。
在域中配置多元密碼策略