Granskning och tillämpning av lösenordslängd för vissa versioner av Windows

Sammanfattning

Windows 10 uppdateringar som släpptes den 18 augusti 2020 lägger till stöd för följande:

• Granska händelser för att identifiera om program och tjänster har stöd för lösenord på 15 tecken eller längre.

• Tillämpning av den minsta lösenordslängden på minst 15 tecken på Windows Server, version 2004 domänkontrollanter.

Versioner av Windows

Granskning av lösenordslängder stöds i följande versioner av Windows. Tillämpning av den minsta lösenordslängden på minst 15 tecken stöds i Windows Server, version 2004 och i senare versioner av Windows.

Föreslagen distribution

Riktlinjer för distribution

Följ de här stegen om du vill lägga till stöd för granskning och tillämpning av lösenordslängd:

1. Distribuera uppdateringen för alla versioner Windows som stöds på alla domänkontrollanter.

   1. Domänkontrollant: Uppdateringarna, och senare uppdateringar, ger stöd på alla datorer för att autentisera användar- eller tjänstkonton som är konfigurerade att använda fler än 14 tecken.

   2. Administrativ arbetsstation: Distribuera uppdateringarna till administrativa arbetsstationer för att tillåta användning av de nya grupprincipinställningarna på datorer.

2. Aktivera grupprincipinställningen MinimumPasswordLengthAudit för en domän eller skog där du behöver längre lösenord. Den här principinställningen ska vara aktiverad i standardprincipen för domänkontrollanten som är kopplad till domänkontrollantens organisationsenhet (OU).

3. Vi rekommenderar att granskningsprincipen är aktiverad i tre till sex månader för att identifiera all programvara som inte stöder lösenord med fler än 14 tecken.

4. Övervaka domäner för Directory-Services-SAM 16978-händelser som loggats mot programvara som hanterat lösenord i tre till sex månader. Du behöver inte övervaka Directory-Services-SAM 16978-händelser som loggas mot användarkonton.

   1. Om det är möjligt konfigurerar du programvaran att använda en längre lösenordslängd.

   2. Arbeta med programvaruleverantören för att uppdatera programvaran så att den använder längre lösenord.

   3. Distribuera en mer ingående lösenordsprincip för det här kontot genom att använda ett värde som matchar lösenordslängden som används av programvaran.

   4. För program som hanterar kontolösenord, men som inte automatiskt använder långa lösenord och inte kan konfigureras för att använda långa lösenord, kan en mer princip för lösenord användas för dessa konton.

5. När alla Directory-Services-SAM 16978-händelser har åtgärdats måste du aktivera ett lösenord. Gör så här:

   1. Distribuera en version av Windows server som har stöd för tillämpning på alla datorer (inklusive Read-Only-datorer).

   2. Aktivera grupprincipen RelaxMinimumPasswordLengthLimits på alla pc-datorer.

   3. Konfigurera grupprincipen MinimumPasswordLength på alla DCs.

Grupprincip

Windows-händelseloggmeddelanden

Tre nya loggmeddelanden för händelse-ID ingår som en del av det tillagda stödet.

Vägledning för ändring av programvarulösenord

Använd den maximala lösenordslängden när du anger ett lösenord i programvara.

Historik

Även om Microsofts övergripande säkerhetsstrategi är fast fokuserad på ett lösenord som inte ger färre framtida lösenord kan många kunder inte migrera bort från lösenord på kort till medellångt sätt. Vissa säkerhetskunder vill kunna konfigurera en inställning med en minsta lösenordslängd på standarddomänen som är längre än 14 tecken (kunder kan till exempel göra det när de säger att deras användare måste använda längre lösenord istället för vanliga, korta lösenord för enstaka token). Som ett stöd för den här begäran aktiverade Windows-uppdateringar i april 2018 för Windows Server 2016 en grupprincipändring som ökade den minsta lösenordslängden från 14 till 20 tecken. Även om den här ändringen såg ut att stödja längre lösenord var den i slutänden otillräcklig och avvisade det nya värdet när grupprincipen tillämpades. Dessa avslag var tyst och krävde detaljerad testning för att fastställa att systemet inte stöder längre lösenord. En uppföljningsuppdatering av sam-lagret (Security Account Manager) ingick i både Windows Server 2016 och Windows Server 2019 för att systemet ska kunna fungera korrekt från end-to-end med en minsta lösenordslängd som är längre än 14 tecken. En uppföljningsuppdatering av sam-lagret (Security Account Manager) ingick i både Windows Server 2016 och Windows Server 2019 för att systemet ska kunna fungera korrekt från end-to-end med en minsta lösenordslängd som är längre än 14 tecken.

Principinställningen MinimumPasswordLength har ett tillåtet intervall mellan 0 och 14 under en mycket lång tid (flera månader) på alla Microsoft-plattformar. Den här inställningen gäller för både lokala Windows säkerhetsinställningar och Active Directory (och NT4-domäner före det). Värdet noll (0) innebär att inget lösenord krävs för något konto.

I tidigare versioner Windows grupprincipgränssnittet inte möjligt att ange en minsta lösenordslängd som är längre än 14 tecken. I april 2018 släppte vi emellertid de Windows 10-uppdateringar som lade till stöd för fler än 14 tecken i användargränssnittet för grupprinciper som en del av uppdateringar som:

• KB 4093120: 17 april 2018 – KB4093120 (OS-version 14393.2214)

Den här uppdateringen inkluderade följande version:

"Ökar lösenordslängden i grupprincipen till 20 tecken."

Vissa kunder som installerade versionerna för april 2018 och ersatt uppdateringar upptäckte att de fortfarande inte kunde använda fler än 14 tecken stora lösenord. Undersökning har identifierat att ytterligare uppdateringar måste installeras på DC-rolldatorer med fler än 14 tecken som definierats i lösenordsprincipen. Följande uppdateringar aktiverade Windows Server 2016, Windows 10, version 1607 och den första versionen av Windows 10-domänkontrollanter för tjänstinloggningar och autentiseringsbegäranden med fler än 14 tecken stora lösenord:

• KB 4467684: 27 november 2018 – KB4467684 (OS-version 14393.2639)

Den här uppdateringen inkluderade följande version:

"Åtgärdar ett problem som förhindrar domänkontrollanter från att använda lösenordsprincipen för grupprinciper när den minsta lösenordslängden har konfigurerats till mer än 14 tecken."

• KB 4471327: 11 december 2018 – KB4471321 (OS-version 14393.2665)

Vissa kunder har definierat lösenord med mer än 14 tecken i principen efter installation av uppdateringarna för april 2018 till oktober 2018, som i princip var inaktiva fram till november 2018 och december 2018, eller så kunde en intern OS-aktiverad domänkontrollant ha mer än 14 tecken stora lösenord i principen, vilket tog bort länken tid/orsak mellan funktionsaktivering och principprogram. Oavsett om du har installerat grupprinciper och domänkontrollantuppdateringar samtidigt eller inte kan du se följande sidoeffekter:

• Exponerade problem med program som för närvarande inte är kompatibla med lösenord som är längre än 14 tecken.

• Problem som exponeras när domäner som består av en blandning av versionsversionen av Windows Server 2019 eller uppdaterade 2016-datorer som har stöd för fler än 14 tecken och tidigare Windows Server 2016-datorer som inte har stöd för fler än 14 teckens lösenord (tills det finns backporter som är installerade för Windows Server 2016).

• När du har installerat KB4467684kanske klustertjänsten inte startar med felet "2245 (NERR_PasswordTooShort)" om grupprincipen "Minsta lösenordslängd" är konfigurerad med fler än 14 tecken.

  Vägledningen för det här kända problemet var att ange principen för minsta lösenordslängd för domänen till mindre än eller lika med 14 tecken. Vi arbetar med en lösning och kommer att tillhandahålla en uppdatering i en kommande version.

På grund av de tidigare problemen togs stöd för fler än 14 teckens lösenord bort av DC-sidan i uppdateringarna för januari 2019, så att funktionen inte kan användas.