एक्टिव डायरेक्टरी में डोमेन पासवर्ड पॉलिसी कॉन्फ़िगर करना

डिफ़ॉल्ट डोमेन पॉलिसी में पासवर्ड पॉलिसी

एक्टिव डायरेक्टरी डोमेन में उपयोगकर्ता खातों के लिए उच्च स्तर की सुरक्षा सुनिश्चित करने के लिए, एक व्यवस्थापक को डोमेन पासवर्ड पॉलिसी को कॉन्फ़िगर और कार्यान्वित करना होगा। पासवर्ड पॉलिसी को पर्याप्त जटिलता, पासवर्ड लंबाई, और उपयोगकर्ता और सेवा खाता पासवर्ड बदलने की आवृत्ति प्रदान करनी चाहिए। इस प्रकार, आप किसी हमलावर के लिए नेटवर्क पर भेजे जाने पर उपयोगकर्ता पासवर्ड को ब्रूट-फोर्स या कैप्चर करना कठिन बना सकते हैं।

डिफ़ॉल्ट रूप से, AD डोमेन में उपयोगकर्ता पासवर्ड के लिए सामान्य आवश्यकताओं को सेट करने के लिए ग्रुप पॉलिसी (GPO) सेटिंग्स का उपयोग किया जाता है। डोमेन उपयोगकर्ता खातों की पासवर्ड पॉलिसी डिफ़ॉल्ट डोमेन पॉलिसी में कॉन्फ़िगर की जाती है। यह पॉलिसी डोमेन के रूट से लिंक होती है और PDC एमुलेटर भूमिका वाले डोमेन कंट्रोलर पर लागू होनी चाहिए।

1. AD खाता पासवर्ड पॉलिसी कॉन्फ़िगर करने के लिए, ग्रुप पॉलिसी मैनेजमेंट कंसोल (gpmc.msc) खोलें
2. अपने डोमेन का विस्तार करें और डिफ़ॉल्ट डोमेन पॉलिसी नामक GPO ढूंढें। इस पर राइट-क्लिक करें और संपादित करें चुनें
3. पासवर्ड पॉलिसी निम्न GPO अनुभाग में स्थित हैं: कंप्यूटर कॉन्फ़िगरेशन -> नीतियां -> Windows सेटिंग्स -> सुरक्षा सेटिंग्स -> खाता नीतियां -> पासवर्ड पॉलिसी
4. इसे संपादित करने के लिए पॉलिसी सेटिंग पर डबल-क्लिक करें। एक विशिष्ट पॉलिसी सेटिंग को सक्षम करने के लिए, इस पॉलिसी सेटिंग को परिभाषित करें चेक करें और आवश्यक मान निर्दिष्ट करें (नीचे स्क्रीनशॉट में, मैंने न्यूनतम पासवर्ड लंबाई को 8 वर्णों पर सेट किया है)। परिवर्तन सहेजें
5. नई पासवर्ड पॉलिसी सेटिंग्स कुछ समय में (90 मिनट), कंप्यूटर बूट के दौरान पृष्ठभूमि में सभी डोमेन कंप्यूटरों पर लागू की जाएंगी, या आप gpupdate /force कमांड चलाकर पॉलिसी को तुरंत लागू कर सकते हैं

आप GPO मैनेजमेंट कंसोल से या PowerShell cmdlet Set-ADDefaultDomainPasswordPolicy का उपयोग करके पासवर्ड पॉलिसी सेटिंग्स बदल सकते हैं:

Set-ADDefaultDomainPasswordPolicy -Identity woshub.com -MinPasswordLength 10 -LockoutThreshold 3

Windows पर बुनियादी पासवर्ड पॉलिसी सेटिंग्स

आइए Windows में उपलब्ध सभी पासवर्ड सेटिंग्स पर विचार करें। GPO में छह पासवर्ड सेटिंग्स हैं:

• पासवर्ड इतिहास लागू करें - AD में संग्रहीत पुराने पासवर्ड की संख्या निर्धारित करता है, इस प्रकार उपयोगकर्ता को पुराने पासवर्ड का उपयोग करने से रोकता है। हालांकि, डोमेन एडमिन या उपयोगकर्ता जिसे AD में पासवर्ड रीसेट अनुमतियां सौंपी गई हैं, मैन्युअल रूप से खाते के लिए पुराना पासवर्ड सेट कर सकते हैं
• अधिकतम पासवर्ड आयु - दिनों में पासवर्ड समाप्ति सेट करता है। पासवर्ड समाप्त होने के बाद, Windows उपयोगकर्ता को पासवर्ड बदलने के लिए कहेगा। उपयोगकर्ताओं द्वारा पासवर्ड परिवर्तन की नियमितता सुनिश्चित करता है; आप PowerShell का उपयोग करके पता लगा सकते हैं कि किसी विशिष्ट उपयोगकर्ता का पासवर्ड कब समाप्त होता है: Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}
• न्यूनतम पासवर्ड लंबाई - यह अनुशंसा की जाती है कि पासवर्ड में कम से कम 8 प्रतीक हों (यदि आप यहां 0 निर्दिष्ट करते हैं, तो पासवर्ड आवश्यक नहीं है)
• न्यूनतम पासवर्ड आयु - सेट करता है कि उपयोगकर्ता कितनी बार अपने पासवर्ड बदल सकते हैं। यह सेटिंग उपयोगकर्ता को पासवर्ड को बहुत बार बदलने से रोकेगी ताकि पासवर्ड को कई बार लगातार बदलकर पासवर्ड इतिहास से हटाने के बाद वे अपना पसंदीदा पुराना पासवर्ड वापस पा सकें। एक नियम के रूप में, यहां 1 दिन सेट करना उचित है ताकि उपयोगकर्ता खुद पासवर्ड बदल सकें यदि यह समझौता हो जाता है (अन्यथा एक व्यवस्थापक को इसे बदलना होगा)
• पासवर्ड को जटिलता आवश्यकताओं को पूरा करना चाहिए - यदि पॉलिसी सक्षम है, तो उपयोगकर्ता पासवर्ड में खाता नाम का उपयोग नहीं कर सकता (पंक्ति में username या Firstname के 2 से अधिक प्रतीक नहीं), साथ ही पासवर्ड में 3 प्रकार के प्रतीकों का उपयोग किया जाना चाहिए: संख्याएं (0-9), बड़े अक्षर, छोटे अक्षर और विशेष वर्ण ($, #, %, आदि)। इसके अलावा, कमजोर पासवर्ड (पासवर्ड डिक्शनरी से) के उपयोग को रोकने के लिए, AD डोमेन में उपयोगकर्ता पासवर्ड का नियमित ऑडिट करने की सिफारिश की जाती है
• पासवर्ड को उल्टे एन्क्रिप्शन का उपयोग करके संग्रहीत करें - उपयोगकर्ता पासवर्ड AD डेटाबेस में एन्क्रिप्टेड रूप में संग्रहीत होते हैं, लेकिन कुछ मामलों में आपको कुछ ऐप्स को उपयोगकर्ता पासवर्ड तक पहुंच प्रदान करनी होगी। यदि यह पॉलिसी सेटिंग सक्षम है, तो पासवर्ड कम सुरक्षित होते हैं (लगभग प्लेन टेक्स्ट)। यह सुरक्षित नहीं है (यदि DC से समझौता किया जाता है तो एक हमलावर पासवर्ड डेटाबेस तक पहुंच प्राप्त कर सकता है; रीड-ओनली डोमेन कंट्रोलर (RODC) का उपयोग सुरक्षा उपायों में से एक के रूप में किया जा सकता है)

यदि कोई उपयोगकर्ता डोमेन में पासवर्ड पॉलिसी से मेल नहीं खाने वाले पासवर्ड को बदलने का प्रयास करता है, तो त्रुटि संदेश दिखाई देगा:

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

इसके अलावा, निम्न पासवर्ड सेटिंग्स को GPO अनुभाग खाता लॉकआउट पासवर्ड में कॉन्फ़िगर किया जाना चाहिए:

• खाता लॉकआउट थ्रेशोल्ड - असफल साइन-इन प्रयासों की संख्या (गलत पासवर्ड के साथ) जो उपयोगकर्ता द्वारा उसके खाते के लॉकआउट से पहले की जा सकती है
• खाता लॉकआउट अवधि - यदि उपयोगकर्ता ने कई बार गलत पासवर्ड दर्ज किया है तो खाता कितनी देर तक लॉक रहेगा
• खाता लॉकआउट काउंटर रीसेट करें - मिनटों की संख्या जिसके बाद खाता लॉकआउट थ्रेशोल्ड काउंटर रीसेट हो जाएगा

यदि कोई विशिष्ट डोमेन खाता बार-बार लॉक आउट होता है, तो आप इस पद्धति का उपयोग करके खाता लॉकआउट के स्रोत की पहचान कर सकते हैं।

AD डोमेन में पासवर्ड पॉलिसी की डिफ़ॉल्ट सेटिंग्स

सिक्योरिटी कंप्लायंस टूलकिट में, Microsoft निम्न पासवर्ड पॉलिसी सेटिंग्स का उपयोग करने की सिफारिश करता है:

• पासवर्ड इतिहास लागू करें: 24
• अधिकतम पासवर्ड आयु: सेट नहीं
• न्यूनतम पासवर्ड आयु: सेट नहीं
• न्यूनतम पासवर्ड लंबाई: 14
• पासवर्ड जटिलता पूरी करनी चाहिए: सक्षम
• पासवर्ड को उल्टे एन्क्रिप्शन का उपयोग करके संग्रहीत करें: अक्षम

हाल के सिक्योरिटी बेसलाइन 1903 अनुशंसा में, Microsoft निर्दिष्ट करता है कि उपयोगकर्ताओं के लिए पासवर्ड समाप्ति पॉलिसी को सक्षम करने की कोई आवश्यकता नहीं है। पासवर्ड समाप्ति सुरक्षा नहीं बढ़ाती, बल्कि केवल अनावश्यक समस्याएं पैदा करती है।

AD डोमेन में वर्तमान पासवर्ड पॉलिसी की जांच कैसे करें?

आप gpmc.msc कंसोल में डिफ़ॉल्ट डोमेन पॉलिसी में वर्तमान पासवर्ड पॉलिसी सेटिंग्स देख सकते हैं (सेटिंग्स टैब पर)।

आप PowerShell का उपयोग करके पासवर्ड पॉलिसी जानकारी भी प्रदर्शित कर सकते हैं (कंप्यूटर पर AD PowerShell मॉड्यूल इंस्टॉल होना चाहिए):

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True
DistinguishedName: DC=woshub,DC=com
LockoutDuration: 00:20:00
LockoutObservationWindow: 00:30:00
LockoutThreshold: 0
MaxPasswordAge: 60.00:00:00
MinPasswordAge: 1.00:00:00
MinPasswordLength: 8
objectClas : {domainDNS}
PasswordHistoryCount: 24
ReversibleEncryptionEnabled: False

इसके अलावा, आप किसी भी डोमेन कंप्यूटर पर gpresult कमांड का उपयोग करके वर्तमान AD पासवर्ड पॉलिसी सेटिंग्स की जांच कर सकते हैं।

एक्टिव डायरेक्टरी डोमेन में एकाधिक पासवर्ड पॉलिसी

PDC एमुलेटर FSMO भूमिका का मालिक डोमेन कंट्रोलर डोमेन पासवर्ड पॉलिसी के प्रबंधन के लिए जिम्मेदार है। डिफ़ॉल्ट डोमेन पॉलिसी सेटिंग्स संपादित करने के लिए डोमेन व्यवस्थापक अधिकार आवश्यक हैं।

प्रारंभ में, डोमेन में केवल एक पासवर्ड पॉलिसी हो सकती थी, जो डोमेन रूट पर लागू होती है और बिना किसी अपवाद के सभी उपयोगकर्ताओं को प्रभावित करती है (कुछ बारीकियां हैं, लेकिन हम उनके बारे में बाद में बात करेंगे)। भले ही आप अलग पासवर्ड सेटिंग्स के साथ एक नया GPO बनाएं और इसे Enforced और Block Inheritance पैरामीटर्स के साथ विशिष्ट OU पर लागू करें, यह उपयोगकर्ताओं पर लागू नहीं होगा।

डोमेन पासवर्ड पॉलिसी केवल उपयोगकर्ता AD ऑब्जेक्ट्स को प्रभावित करती है। कंप्यूटर पासवर्ड जो डोमेन ट्रस्ट रिलेशनशिप प्रदान करते हैं, उनकी अपनी GPO सेटिंग्स होती हैं।

Windows Server 2008 में एक्टिव डायरेक्टरी से पहले, प्रति डोमेन केवल एक पासवर्ड पॉलिसी कॉन्फ़िगर की जा सकती थी। AD के नए संस्करणों में, आप फाइन-ग्रेन्ड पासवर्ड पॉलिसी (FGPP) का उपयोग करके विभिन्न उपयोगकर्ताओं या समूहों के लिए एकाधिक पासवर्ड पॉलिसी बना सकते हैं। ग्रेन्ड पासवर्ड पॉलिसी आपको विभिन्न पासवर्ड सेटिंग्स ऑब्जेक्ट्स (PSO) बनाने और लागू करने की अनुमति देती है। उदाहरण के लिए, आप डोमेन एडमिन खातों के लिए बढ़ी हुई पासवर्ड लंबाई या जटिलता के साथ PSO बना सकते हैं (AD डोमेन में व्यवस्थापक खातों को सुरक्षित करने पर लेख देखें), या कुछ खातों के पासवर्ड को सरल बना सकते हैं या यहां तक कि उन्हें पूरी तरह से अक्षम कर सकते हैं।

वर्कग्रुप वातावरण में, आपको प्रत्येक कंप्यूटर पर स्थानीय GPO एडिटर - gpedit.msc का उपयोग करके पासवर्ड पॉलिसी कॉन्फ़िगर करनी होगी, या आप इस पद्धति का उपयोग करके कंप्यूटरों के बीच स्थानीय GPO पॉलिसी सेटिंग्स ट्रांसफर कर सकते हैं।