Sammendrag
Windows 10-oppdateringer utgitt 18. august 2020 legger til støtte for følgende:
- Overvåk hendelser for å identifisere om programmer og tjenester støtter passord på 15 tegn eller lenger.
- Håndhevelse av minste passordlengde på 15 tegn eller mer på domenekontrollere (DC-er) i Windows Server, versjon 2004.
Støttede versjoner av Windows
Overvåking av passordlengder støttes i følgende versjoner av Windows. Håndhevelse av minste passordlengder på 15 tegn eller mer støttes i Windows Server, versjon 2004 og i nyere versjoner av Windows.
| Windows-versjon | KB | Støtte |
|---|---|---|
| Windows 10, versjon 2004 Windows Server versjon 2004 |
Inkludert i den utgitte versjonen | Håndhevelse Overvåking |
| Windows 10, versjon 1909 Windows Server version 1909 |
KB4566116 | Overvåking |
| Windows 10, versjon 1903 Windows Server versjon 1903 |
KB4566116 | Overvåking |
| Windows 10, versjon 1809 Windows Server versjon 1809 Windows Server 2019 |
KB4571748 | Overvåking |
| Windows 10 versjon 1607 Windows Server 2016 |
KB4601318 | Overvåking |
Foreslått distribusjon
| Domenekontrollere | Administrative arbeidsstasjoner | |
|---|---|---|
| Overvåking: Hvis du bare overvåker passordbruk under en minimumsverdi, distribuerer du som følger. | Distribuer oppdateringer til alle støttede DC-er der overvåking er ønsket. | Distribuer oppdateringer til støttede administrative arbeidsstasjoner for nye innstillinger for gruppepolicy. Bruk disse arbeidsstasjonene til å distribuere oppdaterte gruppepolicyer. |
| Håndhevelse: Hvis minimumslengden for passordhåndhevelse er ønsket, distribuerer du som følger. | Windows Server, versjon 2004 DC-er. Alle DC-er må ha denne versjonen eller en nyere versjon. Ingen flere oppdateringer er nødvendige. | Bruk Windows 10, versjon 2004. De nye gruppepolicy-innstillingene for håndhevelse er inkludert i denne versjonen. Bruk disse arbeidsstasjonene til å distribuere oppdaterte gruppepolicyer. |
Retningslinjer for distribusjon
Hvis du vil legge til støtte for overvåking og håndhevelse av minimumslengden passord , følger du disse trinnene:
Distribuer oppdateringen på alle støttede Windows-versjoner på alle domenekontrollere.
- Domenekontroller: Oppdateringene og senere oppdateringer aktiverer støtte for alle DC-er for å godkjenne bruker- eller tjenestekontoer som er konfigurert til å bruke passord med flere enn 14 tegn.
- Administrativ arbeidsstasjon: Distribuer oppdateringene til administrative arbeidsstasjoner for å tillate bruk av de nye innstillingene for gruppepolicy på DC-er.
Aktiver gruppepolicyinnstillingen MinimumPasswordLengthAudit på et domene eller en skog der det ønskes lengre nødvendige passord. Denne policyinnstillingen skal være aktivert i standard domenekontrollerpolicy som er koblet til organisasjonsenheten for domenekontrollere.
Vi anbefaler at du lar overvåkingspolicyen være aktivert i tre til seks måneder for å oppdage all programvare som ikke støtter passord på mer enn 14 tegn.
Overvåke domener for Directory-Services-SAM 16978-hendelser som logges mot programvare som administrerte passord i tre til seks måneder. Du trenger ikke å overvåke Directory-Services-SAM 16978-hendelser logget mot brukerkontoer.
- Hvis det er mulig, kan du konfigurere programvaren til å bruke en lengre passordlengde.
- Samarbeid med programvareleverandøren om å oppdatere programvaren slik at den bruker lengre passord.
- Distribuer en finkornet passordpolicy for denne kontoen ved å bruke en verdi som samsvarer med passordlengden som brukes av programvaren.
- For programvare som behandler kontopassord, men som ikke automatisk bruker lange passord og ikke kan konfigureres til å bruke lange passord, kan en finkornet passordpolicy brukes for disse kontoene.
Når alle Directory-Services-SAM 16978-hendelser er håndtert, aktiverer du et minimumspassord. Gjør dette ved å følge disse trinnene:
- Distribuere en versjon av Windows Server som støtter håndhevelse på alle DC-er (inkludert Read-Only-DC-er).
- Aktiver gruppepolicyen RelaxMinimumPasswordLengthLimits på alle DC-er.
- Konfigurer gruppepolicyen MinimumPasswordLength på alle DC-er.
Gruppepolicy
| Policybane og innstillingsnavn, støttede versjoner | Beskrivelse |
|---|---|
|
Policybane: Datamaskinkonfigurasjon Windows-innstillinger >> Sikkerhetsinnstillinger > Kontopolicyer –> passordpolicy –> overvåking av minimumslengde på passord Navn på innstilling: MinimumPasswordLengthAudit Støttes på:
|
Kontroll av minimumslengde på passord Denne sikkerhetsinnstillingen bestemmer den minste passordlengden som advarsler om passordlengde kan utføres for. Denne innstillingen kan konfigureres fra 1 til 128. Du bør bare aktivere og konfigurere denne innstillingen når du prøver å finne den potensielle effekten av å øke innstillingen for minste passordlengde i miljøet. Hvis denne innstillingen ikke er definert, sendes ikke overvåkingshendelser. Hvis denne innstillingen er definert og er mindre enn eller lik innstillingen for minste passordlengde, utstedes ikke overvåkingshendelser. Hvis denne innstillingen er definert og større enn minimumsinnstillingen for passordlengde, og lengden på et nytt passord for kontoen er mindre enn denne innstillingen, sendes det en overvåkingshendelse. |
| Policybane og innstillingsnavn, støttede versjoner | Beskrivelse |
|---|---|
|
Policybane: Datamaskinkonfigurasjon Windows-innstillinger >> Sikkerhetsinnstillinger > Kontopolicyer –> passordpolicy –> lempe på minstegrensene for passordlengde Navn på innstilling: RelaxMinimumPasswordLengthLimits Støttes på:
|
Lem på minstegrensen for passordlengde fra eldre Denne innstillingen styrer om minimumsinnstillingen for passordlengde kan økes utover den eldre grensen på 14. Hvis denne innstillingen ikke er definert, kan minimum passordlengde konfigureres til maksimalt 14. Hvis denne innstillingen er definert og deaktivert, kan minimum passordlengde konfigureres til maksimalt 14. Hvis denne innstillingen er definert og aktivert, kan minste passordlengde konfigureres mer enn 14. Hvis du vil ha mer informasjon, kan du se https://go.microsoft.com/fwlink/?LinkId=2097191. |
| Policybane og innstillingsnavn, støttede versjoner | Beskrivelse |
|---|---|
|
Policybane: Datamaskinkonfigurasjon Windows-innstillinger >> Sikkerhetsinnstillinger > Kontopolicyer –> passordpolicy –> minste passordlengde Navn på innstilling: MinimumPasswordLength Støttes på:
|
Denne sikkerhetsinnstillingen fastslår det minste antallet tegn som et passord for en brukerkonto kan inneholde. Maksimumsverdien for denne innstillingen avhenger av verdien til Lempe på grensene for minste passordlengde. Hvis Lem på minste passordlengde-innstillingen ikke er definert, kan denne innstillingen konfigureres fra 0 til 14. Hvis Lemping av minste passordlengde-grenser er definert og deaktivert, kan denne innstillingen konfigureres fra 0 til 14. Hvis Lemping av minste passordlengde-innstillingen er definert og aktivert, kan denne innstillingen konfigureres fra 0 til 128. Hvis du angir det nødvendige antallet tegn til 0, er det ikke nødvendig med noe passord. Vær oppmerksom på Medlemsdatamaskiner følger som standard konfigurasjonen for domenekontrollerne sine. Standardverdier:
|
Hendelsesloggmeldinger i Windows
Tre nye loggmeldinger for hendelses-ID er inkludert som en del av denne ekstra støtten.
Hendelses-ID 16977
Hendelses-ID 16977 logges når policyinnstillingene MinimumPasswordLength, RelaxMinimumPasswordLengthLimits eller MinimumPasswordLengthAudit først konfigureres eller endres i gruppepolicyen. Denne hendelsen vil bare bli logget på DC-er. RelaxMinimumPasswordLengthLimits-verdien logges bare i Windows Server, versjon 2004 og nyere versjon DC-er.
| Hendelseslogg | System |
|---|---|
| Hendelseskilde | Directory-Services-SAM |
| Hendelses-ID | 16977 |
| Nivå | Informasjon |
| Tekst for hendelsesmelding | Domenet konfigureres ved hjelp av følgende minimumsinnstillinger knyttet til passordlengde. MinimumPasswordLength: RelaxMinimumPasswordLengthLimits: MinimumPasswordLengthAudit: Hvis du vil ha mer informasjon, kan du se https://go.microsoft.com/fwlink/?LinkId=2097191. |
Hendelses-ID 16978
Hendelses-ID 16978 logges når et kontopassord endres, og passordet er kortere enn den gjeldende innstillingen for MinimumPasswordLengthAudit .
| Hendelseslogg | System |
|---|---|
| Hendelseskilde | Directory-Services-SAM |
| Hendelses-ID | 16978 |
| Nivå | Informasjon |
| Tekst for hendelsesmelding | Følgende konto er konfigurert til å bruke et passord med kortere lengde enn den gjeldende innstillingen for MinimumPasswordLengthAudit . Kontonavn: MinimumPasswordLength: MinimumPasswordLengthAudit: Hvis du vil ha mer informasjon, kan du se https://go.microsoft.com/fwlink/?LinkId=2097191. |
Håndhevelse av hendelses-ID 16979
Hendelses-ID 16979 logges når innstillingene for gruppepolicy for overvåking er konfigurert feil. Denne hendelsen vil bare bli logget på DC-er. RelaxMinimumPasswordLengthLimits-verdien logges bare i Windows Server, versjon 2004 og nyere versjon DC-er. Dette er for håndhevelse.
| Hendelseslogg | System |
|---|---|
| Hendelseskilde | Directory-Services-SAM |
| Hendelses-ID | 16979 |
| Nivå | Feil |
| Tekst for hendelsesmelding | Domenet er feil konfigurert med en MinimumPasswordLength-innstilling som er større enn 14, mens RelaxMinimumPasswordLengthLimits er enten udefinert eller deaktivert. Vær oppmerksom på Inntil dette er rettet opp, vil domenet håndheve en mindre MinimumPasswordLength-innstilling på 14. Gjeldende konfigurert MinimumPasswordLength-verdi: Hvis du vil ha mer informasjon, kan du se https://go.microsoft.com/fwlink/?LinkId=2097191. |
Hendelses-ID 16979 overvåking
Hendelses-ID 16979 logges når innstillingene for gruppepolicy for overvåking er konfigurert feil. Denne hendelsen vil bare bli logget på DC-er. En ny hendelsesloggmelding er inkludert for overvåking som en del av denne ekstra støtten.
| Hendelseslogg | System |
|---|---|
| Hendelseskilde | Directory-Services-SAM |
| Hendelses-ID | 16979 |
| Nivå | Feil |
| Tekst for hendelsesmelding | Domenet er feil konfigurert med en MinimumPasswordLength-innstilling som er større enn 14. Vær oppmerksom på Inntil dette er rettet opp, vil domenet håndheve en mindre MinimumPasswordLength-innstilling på 14. Gjeldende konfigurert MinimumPasswordLength-verdi : Hvis du vil ha mer informasjon, kan du se https://go.microsoft.com/fwlink/?LinkId=2097191. |
Veiledning for endring av programvarepassord
Bruk den maksimale passordlengden når du angir et passord i programvaren.
Logg
Selv om den generelle Microsoft-sikkerhetsstrategien er rettet mot en passordfri fremtid, er det mange kunder som ikke kan overføre passord på kort til mellomlang sikt. Enkelte sikkerhetsbevisste kunder ønsker å kunne konfigurere en standardinnstilling for minste passordlengde for domenet som er større enn 14 tegn (kunder kan for eksempel gjøre dette etter å ha lært opp brukerne sine til å bruke lengre passfraser i stedet for de tradisjonelle korte passordene med ett token). Til støtte for denne forespørselen ble det i april 2018 i Windows Oppdateringer for Windows Server 2016 aktivert en endring i gruppepolicyen som økte den minste passordlengden fra 14 til 20 tegn. Selv om denne endringen så ut til å støtte lengre passord, var den til slutt utilstrekkelig og avviste den nye verdien da gruppepolicyen ble tatt i bruk. Disse avslagene var stille og krevde detaljert testing for å fastslå at systemet ikke støttet lengre passord. En oppfølgingsoppdatering til SAM-laget (Security Account Manager) ble inkludert for både Windows Server 2016 og Windows Server 2019 for å gjøre det mulig for systemet å fungere fra ende til ende med en minste passordlengde på mer enn 14 tegn. En oppfølgingsoppdatering til SAM-laget (Security Account Manager) ble inkludert for både Windows Server 2016 og Windows Server 2019 for å gjøre det mulig for systemet å fungere fra ende til ende med en minste passordlengde på mer enn 14 tegn.
Policyinnstillingen MinimumPasswordLength har hatt et tillatt område fra 0 til 14 i svært lang tid (mange tiår) på alle Microsoft-plattformer. Denne innstillingen gjelder både for lokale Windows-sikkerhetsinnstillinger og Active Directory (og NT4-domener før dette). Verdien null (0) betyr at ingen passord kreves for noen kontoer.
I tidligere versjoner av Windows var det ikke mulig å angi minste passordlengde på lengre enn 14 tegn i brukergrensesnittet for gruppepolicy. I april 2018 lanserte vi imidlertid Windows 10-oppdateringene som la til støtte for mer enn 14 tegn i brukergrensesnittet for gruppepolicy, som en del av oppdateringer som:
- KB-4093120: 17. april 2018 – KB4093120 (OS-build 14393.2214)
Denne oppdateringen inkluderte følgende produktmerknadstekst:
«Øker minste passordlengde i gruppepolicy til 20 tegn.»
Noen kunder som installerte april 2018-versjonene og erstattet oppdateringer, fant ut at de fremdeles ikke kunne bruke passord med mer enn 14 tegn. Undersøkelser fant at flere oppdateringer måtte installeres på DC-rolledatamaskiner som håndterer passord på mer enn 14 tegn som ble definert i passordpolicyen. Følgende oppdateringer aktiverte Windows Server 2016, Windows 10, versjon 1607 og den første utgaven av Windows 10-domenekontrollere til å betjene pålogginger og godkjenningsforespørsler med passord med flere enn 14 tegn:
- KB-4467684: 27. november 2018 – KB4467684 (OS-build 14393.2639)
Denne oppdateringen inkluderte følgende produktmerknadstekst:
«Løser et problem som hindrer domenekontrollere i å bruke passordpolicyen for gruppepolicy når den minste passordlengden er konfigurert til å være større enn 14 tegn.»
- KB-4471327: 11. desember 2018 – KB4471321 (OS-build 14393.2665)
Enkelte kunder definerte passord på mer enn 14 tegn i policyen etter å ha installert oppdateringene fra april 2018 til oktober 2018, som i hovedsak forble deaktiverte frem til november 2018- og desember 2018-oppdateringene, eller et opprinnelig operativsystem aktiverte domenekontrollere til å betjene passord på mer enn 14 tegn i policyen, og dermed fjernet koblingen mellom klokkeslett/årsakssammenheng mellom aktivering av funksjoner og policybruk. Uansett om du installerte oppdateringer for gruppepolicy og domenekontroller samtidig eller ikke, kan du se følgende bivirkninger:
- Eksponerte problemer med programmer som for øyeblikket ikke er kompatible med passord på mer enn 14 tegn.
- Eksponerte problemer når domener som består av en blanding av den utgitte versjonen av Windows Server 2019 eller oppdaterte 2016 DC-er som støtter passord med mer enn 14 tegn, og DC-er før Windows Server 2016, som ikke støtter passord med mer enn 14 tegn (inntil det finnes backports som er installert for Windows Server 2016).
- Når du har installert KB4467684, får du kanskje feilmeldingen «2245 (NERR_PasswordTooShort) hvis gruppepolicy «Minste passordlengde» er konfigurert med flere enn 14 tegn.
Veiledningen for dette kjente problemet var å angi standardpolicyen Minste passordlengde for domenet til færre enn eller lik 14 tegn. Vi arbeider med en løsning og vil gi en oppdatering i en kommende utgivelse.
På grunn av de tidligere problemene ble DC-sidestøtten for passord på mer enn 14 tegn fjernet i oppdateringene for januar 2019, slik at funksjonen ikke kan brukes.