Overvågning og håndhævelse af minimum adgangskodelængde for visse versioner af Windows

Sammendrag

Windows 10 opdateringer, der blev udgivet d. 18. august 2020, understøtter følgende:

• Overvågningshændelser for at identificere, om programmer og tjenester understøtter 15 tegn eller længere adgangskoder.

• Håndhævelse af minimum adgangskodelængden på 15 tegn eller mere på Windows Server, version 2004 domænecontrollere (DCs).

Understøttede versioner af Windows

Overvågning af længden på adgangskoder understøttes på følgende versioner af Windows. Håndhævelse af minimum adgangskodelængder på 15 tegn eller mere understøttes i Windows Server, version 2004 og i nyere versioner af Windows.

Foreslået installation

Retningslinjer for installation

Hvis du vil tilføje understøttelse af overvågning og håndhævelse af minimumlængden af adgangskoder, skal du følge disse trin:

1. Installér opdateringen på alle understøttede Windows på alle domænecontrollere.

   1. domænecontroller: Opdateringerne og senere opdateringer gør det muligt for support på alle pc'er at godkende bruger- eller tjenestekonti, der er konfigureret til at bruge mere end 14 tegns adgangskoder.

   2. Administrativ arbejdsstation: Installér opdateringer til administrative arbejdsstationer for at tillade anvendelse af de nye Gruppepolitik indstillinger på DCs.

2. Aktivér indstillingen MinimumPasswordLengthAudit Gruppepolitik på et domæne eller en skov, hvor der ønskes længere påkrævede adgangskoder. Denne politikindstilling skal være aktiveret i standarddomænecontrollerens politik, der er knyttet til domænecontrolleres organisationsenhed.

3. Vi anbefaler, at overvågningspolitikken er aktiveret i tre til seks måneder til at registrere al software, der ikke understøtter adgangskoder på mere end 14 tegn.

4. Overvåg domæner for Directory-Services-SAM 16978-hændelser, der er logget mod software, der administrerede adgangskoder i tre til seks måneder. Du behøver ikke at overvåge Directory-Services-SAM 16978-hændelser, der er logget på brugerkonti.

   1. Hvis det er muligt, skal softwaren konfigureres til at bruge en længere adgangskodelængde.

   2. Arbejd sammen med softwareleverandøren om at opdatere softwaren til at bruge længere adgangskoder.

   3. Deploy a fine-grain password policy for this account by using a value that matches the password length used by the software.

   4. Til software, der administrerer kontoadgangskoder, men ikke automatisk bruger lange adgangskoder og ikke kan konfigureres til at bruge lange adgangskoder, kan der bruges en politik for mange adgangskoder til disse konti.

5. Når alle Directory-Services-SAM 16978-hændelserne er adresseret, skal du aktivere en minimumadgangskode. Det kan du gøre, ved at følge disse trin:

   1. Installér en version af Windows server, der understøtter håndhævelse på alle DCs (herunder Read-Only-pc'er).

   2. Aktivér RelaxMinimumPasswordLengthLimits Gruppepolitik på alle DCs.

   3. Konfigurer MinimumPasswordLength-Gruppepolitik på alle DCs.

Gruppepolitik

Windows meddelelser i hændelsesloggen

Der er inkluderet tre nye meddelelser om hændelses-id'er som en del af denne ekstra support.

Vejledning til ændring af adgangskode til software

Brug den maksimale adgangskodelængde, når du angiver en adgangskode i software.

Oversigt

Selvom den overordnede Microsoft-sikkerhedsstrategi er fokuseret på en adgangskodefri fremtid, kan mange kunder ikke overflytte væk fra adgangskoder på kort og mellemlangt sigt. Nogle sikkerhedsbevidste kunder ønsker at kunne konfigurere en minimumsindstilling for adgangskodelængde for et standarddomæne, der er større end 14 tegn (kunder kan f.eks. gøre dette, når de har uddannet deres brugere til at bruge længere adgangskodeudtryk i stedet for de traditionelle korte adgangskoder med enkelttokens). Som support for denne anmodning aktiverede Windows-opdateringer i april 2018 til Windows Server 2016 en Gruppepolitik-ændring, der øgede den mindste adgangskodelængde fra 14 til 20 tegn. Selvom denne ændring syntes at understøtte længere adgangskode, var den i sidste ende utilstrækkelig og afviste den nye værdi, da Gruppepolitik blev anvendt. Disse afvisninger var lydløse og krævede detaljeret test for at fastslå, at systemet ikke understøttede længere adgangskoder. Der fulgte en opfølgende opdatering til SAM-laget (Security Account Manager) for både Windows Server 2016 og Windows Server 2019, så systemet kan fungere korrekt fra ende til anden med en adgangskodelængde, der er længere end 14 tegn. Der fulgte en opfølgende opdatering til SAM-laget (Security Account Manager) for både Windows Server 2016 og Windows Server 2019, så systemet kan fungere korrekt fra ende til anden med en adgangskodelængde, der er længere end 14 tegn.

Politikindstillingen MinimumPasswordLength har haft et tilladt interval fra 0 til 14 i meget lang tid (mange mennesker) på alle Microsoft-platforme. Denne indstilling gælder både for lokale Windows og Active Directory (og NT4-domæner før). En værdi på nul (0) betyder, at der ikke kræves en adgangskode til en konto.

I tidligere versioner af Windows aktiverede brugergrænsefladen Gruppepolitik indstilling af minimumskravet til adgangskodelængder, der er længere end 14 tegn. Men i april 2018 udgav vi opdateringer til Windows 10, der har tilføjet understøttelse af mere end 14 tegn i brugergrænsefladen i Gruppepolitik som en del af opdateringer som f.eks.:

• KB 4093120:17. april 2018 – KB4093120 (OS-build 14393.2214)

Denne opdatering indeholdt følgende tekst til produktbemærkninger:

"Øger den mindste adgangskodelængde på Gruppepolitik til 20 tegn."

Nogle kunder, der installerede udgivelserne for april 2018 og erstattede opdateringer, fandt, at de stadig ikke kunne bruge mere end 14-tegns adgangskoder. Undersøgelsen identificerede, at yderligere opdateringer skal installeres på DC-rollecomputere, der servicerer de mere end 14 tegns adgangskoder, der er defineret i adgangskodepolitikken. Følgende opdateringer er aktiveret Windows Server 2016, Windows 10, version 1607 og den første udgivelse af Windows 10-domænecontrollere til at servicere logon- og godkendelsesanmodninger med mere end 14 tegns adgangskoder:

• KB 4467684:27. november 2018 – KB4467684 (OS-build 14393.2639)

Denne opdatering indeholdt følgende tekst til produktbemærkninger:

"Løser et problem, der forhindrer domænecontrollere i at anvende politikken for adgangskode i Gruppepolitik, når den mindste adgangskodelængde er konfigureret til at være større end 14 tegn."

• KB 4471327:11. december 2018 – KB4471321 (OS-build 14393.2665)

Nogle kunder definerede mere end 14-tegns adgangskoder i politikken efter at have installeret opdateringerne for april 2018 til og med oktober 2018, som i bund og grund forblev inaktive indtil november 2018 og december 2018-opdateringer eller et indbygget OS-aktiveret domænecontrollere til at servicere mere end 14-tegns adgangskoder i politikken, hvilket fjerner linket til tid/årsag mellem funktionsaktivering og politikprogrammet. Uanset om du Gruppepolitik domænecontroller og domænecontroller opdateringer på samme tid eller ej, kan du muligvis se følgende bivirkninger:

• Eksponerede problemer med programmer, der i øjeblikket ikke er kompatible med mere end 14 tegns adgangskoder.

• Eksponerede problemer, når domæner, der består af en blanding af udgivelsesversionen af Windows Server 2019 eller en opdateret 2016-pc, der understøtter mere end 14 tegns adgangskoder og DCs på forhånd Windows Server 2016, der ikke understøtter mere end 14 tegns adgangskoder (indtil backports findes og installeres til Windows Server 2016).

• Når du har installeret KB4467684,kan klyngetjenesten muligvis ikke starte med fejlen "2245 (NERR_PasswordTooShort)", hvis Gruppepolitik "Minimum adgangskodelængde" er konfigureret med mere end 14 tegn.

  Vejledningen til dette kendte problem var at indstille standardpolitikken for "Minimum adgangskodelængde" til mindre end eller lig med 14 tegn. Vi arbejder på en løsning og vil levere en opdatering i en kommende version.

På grund af de tidligere problemer blev DC-sidens understøttelse af mere end 14-tegns adgangskoder fjernet i opdateringerne for januar 2019, så funktionen ikke kan bruges.