Active Directory'de Etki Alanı Parola Politikası Yapılandırma

Active Directory etki alanındaki kullanıcı hesapları için yüksek düzeyde güvenlik sağlamak üzere bir yöneticinin bir etki alanı parola ilkesi yapılandırması ve uygulaması gerekir. Parola politikası, yeterli karmaşıklık, parola uzunluğu ve kullanıcı ve hizmet hesabı parolalarının değiştirilme sıklığını sağlamalıdır. Böylece, bir saldırganın bir ağ üzerinden gönderirken kullanıcı parolalarını kaba kuvvetle ele geçirmesini veya ele geçirmesini zorlaştırabilirsiniz.

Varsayılan Etki Alanı Politikasında Parola Politikası

Varsayılan olarak, AD alanındaki kullanıcı şifreleri için ortak gereksinimler belirlemek üzere Grup İlkesi (GPO) ayarları kullanılır. Etki alanı kullanıcı hesaplarının parola politikası, Varsayılan Etki Alanı Politikası'nda yapılandırılır. Bu ilke, etki alanının köküne bağlıdır ve PDC öykünücü rolüyle bir etki alanı denetleyicisine uygulanmalıdır.

1. AD hesabı parola ilkesini yapılandırmak için Grup İlkesi Yönetimi konsolunu açın (

   gpmc.msc

   );

2. Etki alanınızı genişletin ve Varsayılan Etki Alanı Politikası adlı GPO'yu bulun. Sağ tıklayın ve Düzenle'yi seçin;

   

3. Şifre politikaları şu GPO bölümünde bulunur: Bilgisayar yapılandırması-> Politikalar-> Windows Ayarları->Güvenlik Ayarları -> Hesap Politikaları -> Şifre Politikası;

4. Düzenlemek için bir ilke ayarını çift tıklayın. Belirli bir politika ayarını etkinleştirmek için Bu politika ayarlarını tanımla'yı işaretleyin ve gerekli değeri belirtin (aşağıdaki ekran görüntüsünde, minimum şifre uzunluğunu 8 karakter olarak belirledim). Değişiklikleri kaydedin;

   

5. Yeni parola ilkesi ayarları, bilgisayar önyüklemesi sırasında arka planda tüm etki alanı bilgisayarlarına uygulanacaktır (90 dakika) veya ilkeyi çalıştırarak hemen uygulayabilirsiniz.

   gpupdate /force

   emretmek.

Parola ilkesi ayarlarını GPO Yönetim konsolundan veya PowerShell cmdlet Set-ADDefaultDomainPasswordPolicy kullanarak değiştirebilirsiniz:

Set-ADDefaultDomainPasswordPolicy -Identity a-d.site -MinPasswordLength 10 -LockoutThreshold 3

Windows'ta Temel Parola İlkesi Ayarları

Mevcut tüm Windows şifre ayarlarını ele alalım. GPO'da altı parola ayarı vardır:

• Şifre geçmişini uygula - AD'de saklanan eski şifrelerin sayısını belirler ve böylece bir kullanıcının eski bir şifre kullanmasını engeller.

  Ancak, etki alanı yöneticisi veya AD'de parola sıfırlama izinleri atanan kullanıcı, hesap için eski parolayı manuel olarak ayarlayabilir;

• Maksimum şifre yaşı - şifrenin sona erme tarihini gün cinsinden ayarlar. Parolanın süresi dolduktan sonra, Windows kullanıcıdan parolayı değiştirmesini isteyecektir. Kullanıcılar tarafından şifre değişikliklerinin düzenli olmasını sağlar;

  PowerShell'i kullanarak belirli bir kullanıcının parolasının süresinin ne zaman dolacağını öğrenebilirsiniz:

  Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }} 

• Minimum şifre uzunluğu - şifrelerin en az 8 sembol içermesi önerilir (burada 0 belirtirseniz, şifre gerekli değildir);

• Minimum şifre yaşı - kullanıcıların şifrelerini ne sıklıkta değiştirebileceğini ayarlar. Bu ayar, parola arka arkaya birkaç kez değiştirildikten sonra parolayı Parola Geçmişinden kaldırarak, kullanıcının beğendiği eski bir parolaya geri dönmek için parolayı çok sık değiştirmesine izin vermez. Kural olarak, bir parolanın güvenliği ihlal edildiğinde kullanıcıların kendilerinin değiştirebilmesi için burada 1 gün ayarlamaya değer (aksi takdirde bir yöneticinin parolayı değiştirmesi gerekir);

• Şifre karmaşıklık gereksinimlerini karşılamalıdır - politika etkinleştirilirse, kullanıcı hesap adını bir şifrede kullanamaz (bir şifrenin en fazla 2 sembolü).

  username

  veya

  Firstname

  üst üste), ayrıca şifrede 3 tür sembol kullanılmalıdır: sayılar (0-9), büyük harfler, küçük harfler ve özel karakterler ($, #, % vb.). Ayrıca, zayıf parolaların kullanılmasını önlemek için (parola sözlüğünden), AD alanındaki kullanıcı parolalarının düzenli olarak denetlenmesi önerilir;

• Parolaları ters çevrilebilir şifreleme kullanarak depolayın - kullanıcı parolaları AD veritabanında şifrelenmiş olarak depolanır, ancak bazı durumlarda bazı uygulamalar için kullanıcı parolalarına erişim izni vermeniz gerekir. Bu ilke ayarı etkinleştirilirse parolalar daha az korunur (neredeyse düz metin). Güvenli değildir (DC'nin güvenliği ihlal edilirse bir saldırgan parola veritabanına erişebilir; koruma önlemlerinden biri olarak salt okunur etki alanı denetleyicileri (RODC) kullanılabilir).

Bir kullanıcı, etki alanındaki parola politikasıyla eşleşmeyen bir parolayı değiştirmeye çalışırsa, şu hata mesajı görüntülenir:

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

Ek olarak, GPO bölümünde Hesap Kilitleme Parolası'nda aşağıdaki parola ayarları yapılandırılmalıdır:

• Hesap Kilitleme Eşiği - hesabı kilitlenmeden önce kullanıcı tarafından yapılabilecek başarısız oturum açma girişimlerinin sayısı (yanlış parola ile);

• Hesap Kilitleme Süresi - kullanıcı birkaç kez yanlış şifre girerse bir hesabın ne kadar süreyle kilitli kalacağı;

• Hesap kilitleme sayacını sıfırla: - Hesap Kilitleme Eşiği sayacının kaç dakika sonra sıfırlanacağı.

AD etki alanındaki parola ilkelerinin varsayılan ayarları aşağıdaki tabloda listelenmiştir:

Güvenlik Uyumluluğu Araç Seti'nde Microsoft, aşağıdaki parola ilkesi ayarlarının kullanılmasını önerir:

• Parola Geçmişini Zorla: 24

• Maksimum şifre yaşı: ayarlanmadı

• Minimum şifre yaşı: ayarlanmadı

• Minimum parola uzunluğu: 14

• Parola karmaşıklığı karşılamalıdır: Etkin

• Parolaları ters çevrilebilir şifreleme kullanarak saklayın: Devre dışı

AD Etki Alanında Geçerli Parola Politikası Nasıl Kontrol Edilir?

Varsayılan Etki Alanı İlkesi'nde geçerli parola ilkesi ayarlarını görebilirsiniz.

gpmc.msc

konsol (Ayarlar sekmesinde).

PowerShell'i kullanarak da parola ilkesi bilgilerini görüntüleyebilirsiniz (bilgisayarda AD PowerShell modülü kurulu olmalıdır):

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True
DistinguishedName: DC=a-d,DC=com
LockoutDuration: 00:20:00
LockoutObservationWindow: 00:30:00
LockoutThreshold: 0
MaxPasswordAge: 60.00:00:00
MinPasswordAge: 1.00:00:00
MinPasswordLength: 8
objectClas : {domainDNS}
PasswordHistoryCount: 24
ReversibleEncryptionEnabled: False

Ayrıca, gpresult komutunu kullanarak herhangi bir etki alanı bilgisayarındaki geçerli AD parola ilkesi ayarlarını kontrol edebilirsiniz.

Active Directory Etki Alanında Çoklu Parola İlkeleri

PDC Emulator FSMO rolünün sahibi olan etki alanı denetleyicisi, etki alanı parola ilkesini yönetmekten sorumludur. Varsayılan Etki Alanı Politikası ayarlarını düzenlemek için alan yöneticisi hakları gereklidir.

Başlangıçta, etki alanında, etki alanı köküne uygulanan ve istisnasız tüm kullanıcıları etkileyen tek bir parola politikası olabilir (bazı nüanslar vardır, ancak bunlar hakkında daha sonra konuşacağız). Farklı parola ayarlarıyla yeni bir GPO oluştursanız ve bunu Zorunlu ve Blok Kalıtım parametreleriyle belirli OU'ya uygulasanız bile, kullanıcılar için geçerli olmayacaktır.

Windows Server 2008'deki Active Directory'den önce, etki alanı başına yalnızca bir parola ilkesi yapılandırılabiliyordu. AD'nin daha yeni sürümlerinde, Hassas Parola İlkelerini (FGPP) kullanarak farklı kullanıcılar veya gruplar için birden çok parola ilkesi oluşturabilirsiniz. Tanecikli Parola İlkeleri, farklı Parola Ayarları Nesneleri (PSO'lar) oluşturmanıza ve uygulamanıza olanak tanır. Örneğin, etki alanı yönetici hesapları için parola uzunluğu veya karmaşıklığı artırılmış bir PSO oluşturabilir veya bazı hesapların parolalarını daha basit hale getirebilir, hatta tamamen devre dışı bırakabilirsiniz.