Súhrn
Aktualizácie systému Windows 10 vydané 18. augusta 2020 pridávajú podporu pre nasledovné:
- Udalosti auditu na určenie, či aplikácie a služby podporujú heslá s 15 znakmi alebo dlhšími.
- Vynútenie minimálnej dĺžky hesiel 15 znakov alebo viac v radičoch domény Windows Server verzie 2004.
Podporované verzie Windowsu
Auditovanie dĺžky hesiel je podporované v nasledujúcich verziách Windowsu. Vynútenie minimálnej dĺžky hesla 15 znakov a viac je podporované vo Windows Server verzie 2004 a novších verziách Windowsu.
| Verzia Windowsu | KB | Podpora |
|---|---|---|
| Windows 10, verzia 2004 Windows Server, verzia 2004 |
Je súčasťou vydanej verzie | Presadzovanie Auditovanie |
| Windows 10, verzia 1909 Windows Server verzia 1909 |
KB4566116 | Auditovanie |
| Windows 10, verzia 1903 Windows Server, verzia 1903 |
KB4566116 | Auditovanie |
| Windows 10, verzia 1809 Windows Server verzia 1809 Windows Server 2019 |
KB4571748 | Auditovanie |
| Windows 10, verzia 1607 Windows Server 2016 |
KB4601318 | Auditovanie |
Navrhované nasadenie
| Radiče domény | Administratívne pracovné stanice | |
|---|---|---|
| Auditovanie: Ak auditujete iba používanie hesiel pod minimálnou hodnotou, nasaďte ho nasledovným spôsobom. | Nasadenie aktualizácií na všetkých podporovaných radičoch domény tam, kde je požadované auditovanie. | Nasadenie aktualizácií na podporovaných pracovných staniciach pre správu pre nové nastavenia skupinovej politiky. Tieto pracovné stanice môžete použiť na nasadenie aktualizovaných skupinových politík. |
| Vynútenie: Ak požadujete vynútenie minimálnej dĺžky hesla, nasaďte ho nasledovným spôsobom. | Windows Server, verzia 2004 DC. Všetky radiče domény musia byť v tejto verzii alebo v novšej verzii. Nevyžadujú sa žiadne ďalšie aktualizácie. | Používajte Windows 10 verzie 2004. V tejto verzii sú zahrnuté nové nastavenia skupinovej politiky na presadzovanie pravidiel. Tieto pracovné stanice môžete použiť na nasadenie aktualizovaných skupinových politík. |
Pokyny na nasadenie
Ak chcete pridať podporu auditovania a vynucovania minimálnej dĺžky hesla , postupujte podľa týchto krokov:
Nasaďte aktualizáciu na všetkých podporovaných verziách Windowsu na všetkých radičoch domény.
- Radič domény: Aktualizácie a neskoršie aktualizácie umožňujú podporu na všetkých radičoch domény na overenie používateľských kont alebo kont služieb, ktoré sú nakonfigurované na používanie hesiel dlhších ako 14 znakov.
- Administratívna pracovná stanica: Nasadenie aktualizácií na administratívnych pracovných staniciach, aby bolo možné použiť nové nastavenia skupinovej politiky na radiče domén.
Povoľte nastavenie skupinová politika MinimumPasswordLengthAudit v doméne alebo doménovej štruktúre, kde sa vyžadujú dlhšie požadované heslá. Toto nastavenie politiky by malo byť povolené v politike predvoleného radiča domény prepojenej s organizačnou jednotkou radiča domény.
Odporúčame ponechať politiku auditovania povolenú na tri až šesť mesiacov, aby sa zistil všetok softvér, ktorý nepodporuje heslá dlhšie ako 14 znakov.
Monitorovanie domén pre udalosti Directory-Services-SAM 16978 zaznamenané pomocou softvéru, ktorý spravoval heslá počas troch až šiestich mesiacov. Nemusíte monitorovať udalosti Directory-Services-SAM 16978 zaznamenané na účtoch používateľov.
- Ak je to možné, nakonfigurujte softvér na používanie dlhšej dĺžky hesla.
- Spolupracujte s dodávateľom softvéru na aktualizácii softvéru, aby ste mohli používať dlhšie heslá.
- Nasaďte pre toto konto precíznu politiku hesiel používaním hodnoty, ktorá zodpovedá dĺžke hesla používanej softvérom.
- V prípade softvéru, ktorý spravuje heslá kont, ale nepoužíva automaticky dlhé heslá a ktorý nie je možné nakonfigurovať na používanie dlhých hesiel, možno pre tieto kontá použiť precíznu politiku hesiel .
Po vyriešení všetkých udalostí Directory-Services-SAM 16978 nastavte minimálne heslo. Postupujte takto:
- Nasaďte verziu Windows Server, ktorá podporuje vynútenie na všetkých radičoch domény (vrátane Read-Only radičov domén).
- Povoľte skupinovú politiku RelaxMinimumPasswordLengthLimits na všetkých radičoch domény.
- Nakonfigurujte skupinovú politiku MinimumPasswordLength na všetkých radičoch domén.
Skupinová politika
| Cesta k politike a názov nastavenia, podporované verzie | Popis |
|---|---|
|
Cesta k politike: Konfigurácia počítača Nastavenie >> zabezpečenia > Windowsu Politiky konta –> politika hesiel –> audit minimálnej dĺžky hesla Názov nastavenia: MinimumPasswordLengthAudit Podporované pre:
|
Audit minimálnej dĺžky hesla Toto nastavenie zabezpečenia určuje minimálnu dĺžku hesla, pre ktorú sa vydávajú upozornenia auditu na dĺžku hesla. Toto nastavenie je možné nakonfigurovať od 1 do 128. Toto nastavenie by ste mali povoliť a nakonfigurovať len vtedy, keď sa pokúsite určiť možný účinok zvýšenia nastavenia minimálnej dĺžky hesla vo vašom prostredí. Ak toto nastavenie nie je definované, udalosti auditu sa nevydajú. Ak je toto nastavenie definované a je menšie alebo rovnaké ako nastavenie minimálnej dĺžky hesla, udalosti auditu sa nevydajú. Ak je toto nastavenie definované a je väčšie ako nastavenie minimálnej dĺžky hesla a dĺžka nového hesla konta je menšia ako toto nastavenie, vydá sa udalosť auditu. |
| Cesta k politike a názov nastavenia, podporované verzie | Popis |
|---|---|
|
Cesta k politike: Konfigurácia počítača Nastavenia >> zabezpečenia > Windowsu Politiky konta –> politika hesiel –> uvoľnite minimálne obmedzenia dĺžky hesla Názov nastavenia: RelaxMinimumPasswordLengthLimits Podporované pre:
|
Uvoľnite staršie limity minimálnej dĺžky hesla Toto nastavenie určuje, či nastavenie minimálnej dĺžky hesla možno zvýšiť nad rámec staršieho limitu 14. Ak toto nastavenie nie je definované, minimálnu dĺžku hesla možno nakonfigurovať na maximálne 14. Ak je toto nastavenie definované a zakázané, minimálnu dĺžku hesla možno nakonfigurovať na maximálne 14. Ak je toto nastavenie definované a povolené, minimálna dĺžka hesla môže byť nakonfigurovaná na viac ako 14. Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?LinkId=2097191. |
| Cesta k politike a názov nastavenia, podporované verzie | Popis |
|---|---|
|
Cesta k politike: Konfigurácia počítača Nastavenia >> zabezpečenia > Windowsu Politiky konta –> politika hesiel –> minimálna dĺžka hesla Názov nastavenia: MinimumPasswordLength (MinimumDĺžka hesla) Podporované pre:
|
Toto nastavenie zabezpečenia určuje najmenší počet znakov, ktoré môže obsahovať heslo používateľského konta. Maximálna hodnota tohto nastavenia závisí od hodnoty nastavenia Uvoľniť limit minimálnej dĺžky hesla. Ak nastavenie limitov minimálnej dĺžky hesla Relax nie je definované, môže byť nakonfigurované od 0 do 14. Ak je definované a vypnuté nastavenie minimálnej dĺžky hesla Relax, môže byť nakonfigurované od 0 do 14. Ak je definované a zapnuté nastavenie minimálnej dĺžky hesla Relax, toto nastavenie môže byť nakonfigurované od 0 do 128. Nastavenie požadovaného počtu znakov na hodnotu 0 znamená, že nie je potrebné žiadne heslo. Poznámka V predvolenom nastavení sa členské počítače riadia konfiguráciou svojich radičov domény. Predvolené hodnoty:
|
Správy denníka udalostí systému Windows
Súčasťou tejto pridanej podpory sú tri nové správy denníka s identifikáciou udalosti.
Identifikácia udalosti: 16977
ID udalosti 16977 sa zaznamená, keď sa nastavenia politiky MinimumPasswordLength, RelaxMinimumPasswordLengthLimits alebo MinimumPasswordLengthAudit na začiatku nakonfigurujú alebo upravia v skupinová politika. Táto udalosť sa zapíše len na radiče domény. Hodnota RelaxMinimumPasswordLengthLimits sa zapíše len v Windows Server, verzii 2004 a novších radičoch domény.
| Denník udalostí | Systém |
|---|---|
| Zdroj udalosti | Directory-Services-SAM |
| Identifikačné číslo udalosti | 16977 |
| Úroveň | Informácie |
| Text hlásenia udalosti | Doména je nakonfigurovaná pomocou nasledujúcich nastavení minimálnej dĺžky hesla. MinimumPasswordLength: RelaxMinimumPasswordLengthLimits: MinimumPasswordLengthAudit: Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?LinkId=2097191. |
Identifikácia udalosti: 16978
ID udalosti 16978 sa zaznamená, keď sa zmení heslo konta, pričom heslo je kratšie ako aktuálne nastavenie MinimumPasswordLengthAudit .
| Denník udalostí | Systém |
|---|---|
| Zdroj udalosti | Directory-Services-SAM |
| Identifikačné číslo udalosti | 16978 |
| Úroveň | Informácie |
| Text hlásenia udalosti | Nasledujúce konto je nakonfigurované na používanie hesla, ktorého dĺžka je kratšia ako aktuálne nastavenie MinimumPasswordLengthAudit . AccountName: MinimumPasswordLength: MinimumPasswordLengthAudit: Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?LinkId=2097191. |
Vynútenie ID udalosti: 16979
Udalosť ID 16979 sa zapíše do denníka, keď sú nesprávne nakonfigurované nastavenia auditovacej skupinovej politiky. Táto udalosť sa zapíše len na radiče domény. Hodnota RelaxMinimumPasswordLengthLimits sa zapíše len v radičoch domény Windows Server verzie 2004 alebo novšej. Toto je na vynútenie.
| Denník udalostí | Systém |
|---|---|
| Zdroj udalosti | Directory-Services-SAM |
| Identifikačné číslo udalosti | 16979 |
| Úroveň | Chyba |
| Text hlásenia udalosti | Doména je nesprávne nakonfigurovaná s nastavením MinimumPasswordLength je väčšie ako 14, zatiaľ čo hodnota RelaxMinimumPasswordLengthLimits je buď nedefinovaná, alebo zakázaná. Poznámka Kým sa to neopraví, doména bude vynútiť menšie nastavenie minimálnejdĺžky_hesla na 14. Aktuálne nakonfigurovaná hodnota MinimálneHesloLength: Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?LinkId=2097191. |
Udalosti ID 16979 Auditing
Udalosť ID 16979 sa zapíše do denníka, keď sú nesprávne nakonfigurované nastavenia auditovacej skupinovej politiky. Táto udalosť sa zapíše len na radiče domény. Jedna nová správa denníka udalostí je súčasťou tejto pridanej podpory pre auditovanie.
| Denník udalostí | Systém |
|---|---|
| Zdroj udalosti | Directory-Services-SAM |
| Identifikačné číslo udalosti | 16979 |
| Úroveň | Chyba |
| Text hlásenia udalosti | Doména je nesprávne nakonfigurovaná s nastavením MinimumPasswordLength, ktoré je väčšie ako 14. Poznámka Kým sa to neopraví, doména bude vynútiť menšie nastavenie minimálnejdĺžky_heslana 14. Aktuálne nakonfigurovaná hodnota MinimálneHesloLength : Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?LinkId=2097191. |
Pokyny na zmenu hesla softvéru
Pri nastavovaní hesla v softvéri použite maximálnu dĺžku hesla.
História
Napriek tomu, že celková stratégia zabezpečenia spoločnosti Microsoft je pevne zameraná na budúcnosť bez hesiel, mnohí zákazníci nemôžu v krátkodobom až strednodobom horizonte migrovať od hesiel. Niektorí zákazníci, ktorí dbajú na zabezpečenie, chcú mať možnosť nakonfigurovať predvolené nastavenie minimálnej dĺžky hesla domény na viac ako 14 znakov (zákazníci tak môžu urobiť napríklad po tom, čo svojich používateľov naučia používať dlhšie prístupové frázy namiesto tradičných krátkych hesiel s jedným tokenom). Na podporu tejto žiadosti Aktualizácie Windowsu v apríli 2018 pre Windows Server 2016 umožnili zmenu skupinovej politiky, ktorá zvýšila minimálnu dĺžku hesla zo 14 na 20 znakov. Aj keď sa zdalo, že táto zmena podporuje dlhšie heslo, v konečnom dôsledku bola nedostatočná a nová hodnota bola po uplatnení skupinovej politiky odmietnutá. Tieto odmietnutia boli tiché a vyžadovalo podrobné testovanie, aby sa zistilo, že systém nepodporuje dlhšie heslá. Pre Windows Server 2016 aj Windows Server 2019 bola zahrnutá následná aktualizácia vrstvy Security Account Manager (SAM), aby systém mohol správne fungovať od začiatku do konca s minimálnou dĺžkou hesla väčšou ako 14 znakov. Pre Windows Server 2016 aj Windows Server 2019 bola zahrnutá následná aktualizácia vrstvy Security Account Manager (SAM), aby systém mohol správne fungovať od začiatku do konca s minimálnou dĺžkou hesla väčšou ako 14 znakov.
Nastavenie politiky MinimumPasswordLength má už veľmi dlho (mnoho desaťročí) povolený rozsah od 0 do 14 na všetkých platformách Microsoftu. Toto nastavenie sa vzťahuje na lokálne nastavenia zabezpečenia systému Windows, ako aj na službu Active Directory (a predchádzajúce domény NT4). Hodnota nula (0) znamená, že pre žiadne konto sa nevyžaduje žiadne heslo.
V starších verziách Windowsu používateľské rozhranie skupinová politika nepovoľovalo nastavenie minimálnej požadovanej dĺžky hesiel dlhších ako 14 znakov. V apríli 2018 sme však vydali aktualizácie systému Windows 10, ktoré pridali podporu pre viac ako 14 znakov v používateľskom rozhraní skupinovej politiky ako súčasť aktualizácií, ako napríklad:
- 4093120 vedomostnej databázy Knowledge Base: 17. apríl 2018 – KB4093120 (zostava OS 14393.2214)
Táto aktualizácia obsahovala tento text poznámky k vydaniu:
Zväčšuje minimálnu dĺžku hesla v skupinovej politike na 20 znakov.
Niektorí zákazníci, ktorí si nainštalovali vydania z apríla 2018 a nahradili aktualizácie, zistili, že stále nemôžu používať heslá dlhšie ako 14 znakov. Vyšetrovaním sa zistilo, že na počítače s úlohou radiča domény, ktoré obsluhujú heslá s viac ako 14-znakovým dĺžkou definovaným v politike hesiel, je potrebné nainštalovať ďalšie aktualizácie. Nasledujúce aktualizácie umožnili systému Windows Server 2016, Windows 10, verzia 1607 a počiatočné vydanie radičov domény pre Windows 10 poskytovať služby pri prihláseniach a žiadostiach o overenie s heslami väčšími ako 14 znakov:
- KB 4467684: 27. november 2018 – KB4467684 (zostava OS 14393.2639)
Táto aktualizácia obsahovala tento text poznámky k vydaniu:
"Rieši problém, ktorý bráni radičom domény uplatňovať politiku hesiel skupinovej politiky, keď je minimálna dĺžka hesla nakonfigurovaná na viac ako 14 znakov."
- KB 4471327: 11. december 2018 – KB4471321 (zostava OS 14393.2665)
Niektorí zákazníci definovali v politike heslá dlhšie ako 14 znakov po inštalácii aktualizácií z apríla 2018 až októbra 2018, ktoré v podstate zostávali nečinnostiné až do aktualizácií z novembra 2018 a decembra 2018, alebo natívne operačné systémy umožňovali radičom domény obsluhovať v politike heslá dlhšie ako 14 znakov, čím sa odstránilo prepojenie medzi časom a príčinnou súvislosťou medzi povolením funkcií a aplikáciou politiky. Bez ohľadu na to, či ste súčasne nainštalovali aktualizácie skupinovej politiky a radiča domény alebo nie, môžu sa vyskytnúť nasledujúce vedľajšie účinky:
- Problémy s aplikáciami, ktoré v súčasnosti nie sú kompatibilné s heslami väčšími ako 14 znakov.
- Vystavené problémy s doménami, ktoré pozostávajú z kombinácie vydanej verzie Windows Server 2019 alebo aktualizovaných 2016 radičov domén, ktoré podporujú viac ako 14-znakové heslá, a radičov domén starších ako Windows Server 2016, ktoré nepodporujú heslá väčšie ako 14 znakov (kým neexistujú backporty a nie sú nainštalované pre Windows Server 2016).
- Po inštalácii KB4467684 môže služba klastra zlyhať pri spustení s chybou "2245 (NERR_PasswordTooShort)", ak je skupinová politika Minimálna dĺžka hesla nakonfigurovaná na viac ako 14 znakov.
Usmernením pre tento známy problém bolo nastavenie predvolenej politiky "Minimálna dĺžka hesla" domény na 14 znakov alebo menej. Pracujeme na riešení a v nadchádzajúcom vydaní poskytneme aktualizáciu.
Kvôli skorším problémom bola v aktualizáciách z januára 2019 odstránená podpora pre heslá dlhšie ako 14 znakov na strane DC, takže túto funkciu nemožno použiť.