Cấu hình Chính sách mật khẩu miền trong Active Directory

Để đảm bảo mức độ bảo mật cao cho tài khoản người dùng trong miền Active Directory, quản trị viên phải cấu hình và triển khai chính sách mật khẩu miền. Chính sách mật khẩu nên cung cấp độ phức tạp, độ dài mật khẩu và tần suất thay đổi mật khẩu của tài khoản người dùng và dịch vụ đủ. Như vậy, bạn có thể khiến kẻ tấn công khó khăn khi dò tìm hoặc đánh cắp mật khẩu người dùng khi gửi qua mạng.

Chính sách mật khẩu trong Default Domain Policy

Mặc định, để đặt yêu cầu chung cho mật khẩu người dùng trong miền AD, cài đặt Group Policy (GPO) được sử dụng. Chính sách mật khẩu tài khoản người dùng miền được cấu hình trong Default Domain Policy. Chính sách này được liên kết với gốc của miền và phải được áp dụng cho domain controller với vai trò PDC emulator.

1. Để cấu hình chính sách mật khẩu tài khoản AD, mở bảng điều khiển Group Policy Management (gpmc.msc);
2. Mở rộng miền của bạn và tìm GPO tên Default Domain Policy. Chuột phải và chọn Edit;
3. Chính sách mật khẩu nằm trong phần GPO sau: Computer configuration -> Policies -> Windows Settings -> Security Settings -> Account Policies -> Password Policy;
4. Double-click một cài đặt chính sách để chỉnh sửa. Để bật một cài đặt chính sách cụ thể, tích Define this policy settings và chỉ định giá trị cần thiết (trên ảnh chụp màn hình dưới, tôi đặt độ dài mật khẩu tối thiểu là 8 ký tự). Lưu thay đổi;
5. Cài đặt chính sách mật khẩu mới sẽ được áp dụng cho tất cả máy tính miền trong nền sau một thời gian (90 phút), khi khởi động máy tính, hoặc bạn có thể áp dụng chính sách ngay lập tức bằng lệnh gpupdate /force.

Bạn có thể thay đổi cài đặt chính sách mật khẩu từ bảng điều khiển GPO Management hoặc bằng cmdlet PowerShell Set-ADDefaultDomainPasswordPolicy:

Set-ADDefaultDomainPasswordPolicy -Identity woshub.com -MinPasswordLength 10 -LockoutThreshold 3

Các cài đặt chính sách mật khẩu cơ bản trên Windows

Hãy xem xét tất cả cài đặt mật khẩu Windows có sẵn. Có sáu cài đặt mật khẩu trong GPO:

• Enforce password history – xác định số mật khẩu cũ được lưu trong AD, ngăn người dùng dùng lại mật khẩu cũ. Tuy nhiên, domain admin hoặc người dùng được ủy quyền reset mật khẩu trong AD có thể đặt thủ công mật khẩu cũ cho tài khoản;
• Maximum password age – đặt hết hạn mật khẩu tính bằng ngày. Sau khi mật khẩu hết hạn, Windows sẽ yêu cầu người dùng đổi mật khẩu. Đảm bảo tính định kỳ thay đổi mật khẩu bởi người dùng; Bạn có thể biết mật khẩu của người dùng cụ thể khi nào hết hạn bằng PowerShell: Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}
• Minimum password length – khuyến khích mật khẩu chứa ít nhất 8 ký tự (nếu bạn chỉ định 0 ở đây, mật khẩu không bắt buộc);
• Minimum password age – đặt tần suất người dùng có thể đổi mật khẩu. Cài đặt này không cho phép người dùng đổi mật khẩu quá thường xuyên để quay lại mật khẩu cũ họ thích bằng cách xóa chúng khỏi Lịch sử mật khẩu sau khi đổi mật khẩu vài lần liên tiếp. Thông thường, nên đặt 1 ngày ở đây để người dùng tự đổi mật khẩu nếu nó bị lộ (ngược lại admin sẽ phải đổi);
• Password must meet complexity requirements – nếu chính sách được bật, người dùng không thể dùng tên tài khoản trong mật khẩu (không quá 2 ký tự của username hoặc Firstname liên tiếp), cũng phải dùng 3 loại ký tự trong mật khẩu: số (0–9), chữ hoa, chữ thường và ký tự đặc biệt ($, #, %, v.v.). Ngoài ra, để ngăn dùng mật khẩu yếu (từ từ điển mật khẩu), khuyến khích kiểm tra định kỳ mật khẩu người dùng trong miền AD;
• Store passwords using reversible encryption – mật khẩu người dùng được lưu mã hóa trong database AD, nhưng trong một số trường hợp bạn phải cấp quyền truy cập mật khẩu người dùng cho một số ứng dụng. Nếu cài đặt chính sách này được bật, mật khẩu được bảo vệ kém hơn (gần như plain text). Không an toàn (kẻ tấn công có thể truy cập database mật khẩu nếu DC bị xâm nhập; domain controller chỉ đọc (RODC) có thể dùng như một biện pháp bảo vệ).

Nếu người dùng cố đổi mật khẩu không khớp với chính sách mật khẩu trong miền, thông báo lỗi sẽ xuất hiện:

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

Ngoài ra, các cài đặt mật khẩu sau nên được cấu hình trong phần GPO Account Lockout Password:

• Account Lockout Threshold – số lần đăng nhập thất bại (với mật khẩu sai) có thể thực hiện bởi người dùng trước khi khóa tài khoản;
• Account Lockout Duration – tài khoản sẽ bị khóa bao lâu, nếu người dùng nhập sai mật khẩu nhiều lần;
• Reset account lockout counter after – số phút sau đó bộ đếm Account Lockout Threshold sẽ được reset.

Nếu tài khoản miền cụ thể bị khóa quá thường xuyên, bạn có thể xác định nguồn gốc khóa tài khoản bằng phương pháp này.

Cài đặt mặc định của chính sách mật khẩu trong miền AD được liệt kê trong bảng dưới:

Trong Security Compliance Toolkit, Microsoft khuyến khích dùng các cài đặt chính sách mật khẩu sau:

• Enforce Password History: 24
• Maximum password age: not set
• Minimum password age: not set
• Minimum password length: 14
• Password must meet complexity: Enabled
• Store passwords using reversible encryption: Disabled

Trong khuyến khích Security Baseline 1903 gần đây, Microsoft chỉ ra rằng không cần bật chính sách hết hạn mật khẩu cho người dùng. Hết hạn mật khẩu không tăng cường bảo mật, chỉ tạo ra vấn đề không cần thiết.

Cách kiểm tra chính sách mật khẩu hiện tại trong miền AD?

Bạn có thể xem cài đặt chính sách mật khẩu hiện tại trong Default Domain Policy trong bảng điều khiển gpmc.msc (tab Settings).

Bạn cũng có thể hiển thị thông tin chính sách mật khẩu bằng PowerShell (module AD PowerShell phải được cài trên máy tính):

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True DistinguishedName: DC=woshub,DC=com LockoutDuration: 00:20:00 LockoutObservationWindow: 00:30:00 LockoutThreshold: 0 MaxPasswordAge: 60.00:00:00 MinPasswordAge: 1.00:00:00 MinPasswordLength: 8 objectClas : {domainDNS} PasswordHistoryCount: 24 ReversibleEncryptionEnabled: False

Cũng có thể kiểm tra cài đặt chính sách mật khẩu AD hiện tại trên bất kỳ máy tính miền nào bằng lệnh gpresult.

Nhiều chính sách mật khẩu trong một miền Active Directory

Domain controller, chủ sở hữu vai trò PDC Emulator FSMO, chịu trách nhiệm quản lý chính sách mật khẩu miền. Quyền domain admin cần thiết để chỉnh sửa cài đặt Default Domain Policy.

Ban đầu, chỉ có thể có một chính sách mật khẩu trong miền, được áp dụng cho gốc miền và ảnh hưởng đến tất cả người dùng không ngoại lệ (có một số sắc thái, nhưng chúng ta sẽ nói sau). Ngay cả nếu bạn tạo GPO mới với cài đặt mật khẩu khác và áp dụng cho OU cụ thể với tham số Enforced và Block Inheritance, nó sẽ không áp dụng cho người dùng.

Chính sách mật khẩu miền chỉ ảnh hưởng đến đối tượng AD người dùng. Mật khẩu máy tính cung cấp mối quan hệ tin cậy miền có cài đặt GPO riêng.

Trước Active Directory trong Windows Server 2008, chỉ có thể cấu hình một chính sách mật khẩu cho mỗi miền. Trong các phiên bản AD mới hơn, bạn có thể tạo nhiều chính sách mật khẩu cho người dùng hoặc nhóm khác nhau bằng Fine-Grained Password Policies (FGPP). Chính sách mật khẩu Fine-Grained cho phép bạn tạo và thi hành các Password Settings Objects (PSOs) khác nhau. Ví dụ, bạn có thể tạo PSO với độ dài mật khẩu tăng hoặc độ phức tạp cao hơn cho tài khoản domain admin (xem bài viết Bảo mật tài khoản quản trị viên trong miền AD), hoặc làm mật khẩu của một số tài khoản đơn giản hơn hoặc thậm chí vô hiệu hóa hoàn toàn.

Trong môi trường workgroup, bạn sẽ phải cấu hình chính sách mật khẩu trên từng máy tính bằng trình soạn thảo GPO cục bộ – gpedit.msc, hoặc bạn có thể chuyển cài đặt chính sách GPO cục bộ giữa các máy tính bằng phương pháp này.