Active Directory'de Ayrıntılı Parola Politikası

Ayrıntılı Parola İlkeleri (FGPP), belirli kullanıcılar veya gruplar için birden çok parola ilkesi oluşturmanıza olanak tanır. Active Directory'nin Windows Server 2008 sürümünden itibaren birden çok parola ilkesi mevcuttur. AD'nin önceki sürümlerinde, etki alanı başına yalnızca bir parola ilkesi oluşturabiliyordunuz (Varsayılan Etki Alanı İlkesi'ni kullanarak).

Bu yazıda, bir Active Directory etki alanında birden çok Parola Ayarlama Nesnesinin nasıl oluşturulacağını ve yapılandırılacağını göstereceğiz.

Hassas Parola İlkeleri Kavramları

Ayrıntılı Parola İlkeleri, bir yöneticinin bir AD etki alanında birden çok özel Parola Ayarlama Nesnesi (PSO) oluşturmasına olanak tanır. PSO'larda parola gereksinimlerini (uzunluk, karmaşıklık, geçmiş) ve hesap kilitleme seçeneklerini ayarlayabilirsiniz. PSO ilkeleri belirli kullanıcılara veya gruplara atanabilir, ancak Active Directory kapsayıcılarına (OU'lar) atanamaz. Bir kullanıcıya bir PSO atanırsa, Varsayılan Etki Alanı İlkesi GPO'sundaki parola ilkesi ayarları artık kullanıcıya uygulanmaz.

Örneğin, FGPP politikalarını kullanarak, yönetici hesapları, hizmet hesapları veya etki alanı kaynaklarına (VPN veya DirectAccess aracılığıyla) harici erişimi olan kullanıcılar için parolaların uzunluğuna ve karmaşıklığına yönelik gereksinimleri artırabilirsiniz.

Bir etki alanında birden çok FGPP parola ilkesi kullanmak için temel gereksinimler:

• Windows Server 2008 etki alanı veya daha yenisinin etki alanı işlev düzeyi;

• Parola politikaları, kullanıcılara veya Global (!) güvenlik gruplarına atanabilir;

• FGPP tamamen uygulanır (parola ayarlarının bazılarını GPO'da, bazılarını da FGPP'de yapamazsınız)

Active Directory'de Parola Ayarı Politikası (PSO) Nasıl Oluşturulur?

Windows Server 2012 ve daha yeni sürümlerde, Active Directory Yönetim Merkezi (ADAC) konsolunun grafik arabiriminden Ayrıntılı Parola İlkeleri oluşturabilir ve düzenleyebilirsiniz.

Bu örnekte, Domain Admins grubu için ayrı bir şifre politikasının nasıl oluşturulacağını ve atanacağını göstereceğiz.

Active Directory Yönetim Merkezi'ni başlatın (

dsac.msc

), ağaç görünümüne geçin ve System kapsayıcısını genişletin. Şifre Ayarları Kapsayıcısını bulun, sağ tıklayın ve Yeni -> Şifre Ayarlar'ı seçin.

Parola ilkesinin adını belirtin (bizim örneğimizde Etki Alanı Yöneticileri için Parola İlkesi'dir) ve ayarlarını yapılandırın (bir parolanın minimum uzunluğu ve karmaşıklığı, geçmişte saklanan parola sayısı, kilitleme ayarları) , şifrenin ne sıklıkta değiştirileceği vb.).

msDS-PasswordSettings

msDS-LockoutDuration
msDS-LockoutObservationWindow
msDS-LockoutThreshold
msDS-MaximumPasswordAge
msDS-MinimumPasswordAge
msDS-MinimumPasswordLength
msDS-PasswordComplexityEnabled
msDS-PasswordHistoryLength
msDS-PasswordReversibleEncryptionEnabled
msDS-PasswordSettingsPrecedence

Öncelik özelliğine dikkat edin. Bu öznitelik, geçerli parola ilkesinin önceliğini belirler. Bir nesneye atanmış birkaç FGPP ilkesi varsa, Öncelik alanındaki en düşük değere sahip ilke uygulanacaktır.

Ardından, politikayı uygulamak için Doğrudan Geçerli Olduğu Kişiler bölümünde grupları veya kullanıcıları ekleyin (bizim durumumuzda Alan Yöneticileridir). PSO ilkesini bireysel kullanıcılar yerine gruplara uygulamanızı öneririz. İlkeyi kaydedin.

Bundan sonra, bu şifre politikası Domain Admins grubunun tüm üyelerine uygulanacaktır.

Active Directory Kullanıcıları ve Bilgisayarları'nı başlatın (

dsa.msc

) konsolunu (Gelişmiş Özellikler seçeneği etkinken) açın ve Domain Admins grubundan herhangi bir kullanıcının özelliklerini açın. Nitelik Düzenleyici sekmesine gidin ve Filtre alanında Yapılan seçeneğini seçin.

msDS-ResultantPSO kullanıcı özniteliğini bulun. Bu öznitelik, bir kullanıcı için etkinleştirilen parola ilkesini gösterir (

CN=Password Policy for Domain Admin,CN=Password Settings Container,CN=System,DC=a-d,DC=com

).

dsget aracını kullanarak bir kullanıcı için geçerli PSO politikasını da alabilirsiniz:

dsget user "CN=Max,OU=Admins,DC=a-d,DC=com" -effectivepso

PowerShell Kullanarak Ayrıntılı Parola İlkelerini (PSO'lar) Yapılandırma

PSO parola ilkelerini PowerShell kullanarak yönetebilirsiniz (bilgisayarınızda Active Directory PowerShell modülü kurulu olmalıdır).

New-ADFineGrainedPasswordPolicy cmdlet'i yeni bir PSO oluşturmak için kullanılır:

New-ADFineGrainedPasswordPolicy -Name “Admin PSO Policy” -Precedence 10 -ComplexityEnabled $true -Description “Domain password policy for admins”-DisplayName “Admin PSO Policy” -LockoutDuration “0.20:00:00” -LockoutObservationWindow “0.00:30:00” -LockoutThreshold 6 -MaxPasswordAge “12.00:00:00” -MinPasswordAge “1.00:00:00” -MinPasswordLength 8 -PasswordHistoryCount 12 -ReversibleEncryptionEnabled $false

Artık bir kullanıcı grubuna bir şifre politikası atayabilirsiniz:

Add-ADFineGrainedPasswordPolicySubject “Admin PSO Policy” -Subjects “Domain Admins”

PSO ilke ayarlarını değiştirmek için:

Set-ADFineGrainedPasswordPolicy "Admin PSO Policy" -PasswordHistoryCount:"12"

Bir etki alanındaki tüm FGPP politikalarını listeleyin:

Get-ADFineGrainedPasswordPolicy -Filter *

Belirli bir kullanıcı için geçerli olan sonuç parola ilkesini almak için Get-ADUserResultantPasswordPolicy komutunu kullanın.

Get-ADUserResultantPasswordPolicy -Identity jsmith

Kullanıcı için geçerli olan PSO'nun adı Ad alanında belirtilir.

Get-ADGroup cmdlet'ini kullanarak bir Active Directory grubuna atanan PSO ilkelerinin listesini görüntüleyebilirsiniz:

Get-ADGroup "Domain Admins" -properties * | Select-Object msDS-PSOApplied

Varsayılan Etki Alanı İlkesi GPO'sundan varsayılan parola ilkesi ayarlarını göstermek için şu komutu çalıştırın:

Get-ADDefaultDomainPasswordPolicy

P@ssw0rd

Pa$$w0rd