Özet
Windows 1018 Ağustos 2020'de yayınlanan Windows 10 güncelleştirmeleri aşağıdakiler için destek ekler:
- Uygulamaların ve hizmetlerin 15 karakterli veya daha uzun parolaları destekleyip desteklemediğini belirlemek için Olayları denetleyin.
- Windows Server, sürüm 2004 etki alanı denetleyicilerinde (DC'ler) en az 15 karakter uzunluğunda parola uzunluğunu zorunlu kılma.
Windows'un desteklenen sürümleri
Parola uzunluklarının denetlenmesi, Windows'un aşağıdaki sürümlerinde desteklenir. En az 15 karakterlik parola uzunluklarının uygulanması Windows Server, sürüm 2004 ve Windows'un sonraki sürümlerinde desteklenir.
| Windows sürümü | KB | Destek |
|---|---|---|
| Windows 10, sürüm 2004 Windows ServerWindows Server version 2004 |
Yayınlanan sürümde yer almaktadır | Zorlama Denetleme |
| Windows 10, sürüm 1909 Windows Server sürüm 1909 |
KB4566116 | Denetleme |
| Windows 10, sürüm 1903 Windows ServerWindows Server version 1903 |
KB4566116 | Denetleme |
| Windows 10, sürüm 1809 Windows ServerWindows Server version 1809 Windows Server 2019 |
KB4571748 | Denetleme |
| Windows 10, sürüm 1607 Windows Server 2016 |
KB4601318 | Denetleme |
Önerilen dağıtım
| Etki Alanı Denetleyicileri | Yönetim İş İstasyonları | |
|---|---|---|
| Denetim: Yalnızca minimum değerin altındaki parola kullanımı denetleniyorsa, aşağıdaki gibi dağıtın. | Güncelleştirmeleri, denetimin istendiği tüm desteklenen DC'lere dağıtın. | Yeni Grup İlkesi grup ilkesi ayarları için desteklenen yönetim iş istasyonlarına güncelleştirmeler dağıtın. Güncelleştirilmiş Grup İlkelerini dağıtmak için bu iş istasyonlarını kullanın. |
| Yürürlük: Minimum uzunlukta parola uygulaması isteniyorsa, aşağıdaki gibi dağıtın. | Windows ServerWindows Server, sürüm 2004 DCS. Tüm DC'ler bu sürümde veya sonraki bir sürümde olmalıdır. Ek güncelleştirme gerekmez. | Windows 10, sürüm 2004'ü kullanın. Yeni Grup İlkesi grup ilkesi ayarları zorlama için bu sürüme dahil edilmiştir. Güncelleştirilmiş Grup İlkelerini dağıtmak için bu iş istasyonlarını kullanın. |
Dağıtım yönergeleri
Minimum Parola Uzunluğu denetimi ve zorlaması için destek eklemek üzere aşağıdaki adımları izleyin:
Güncelleştirmeyi tüm Etki Alanı Denetleyicilerinde desteklenen tüm Windows sürümlerine dağıtın.
- Etki Alanı Denetleyicisi: Güncelleştirmeler ve sonraki güncelleştirmeler, tüm DC'lerde 14 karakterden fazla parola kullanacak şekilde yapılandırılmış kullanıcı veya hizmet hesaplarının kimliğini doğrulama desteğini etkinleştirir.
- Yönetim iş istasyonu: Yeni grup ilkesi ayarlarının DC'lere uygulanmasına izin vermek için güncelleştirmeleri yönetim iş istasyonlarına dağıtın.
MinimumPasswordLengthAudit Grup İlkesigrup ilkesi ayarını daha uzun parolaların gerekli olduğu bir etki alanında veya ormanda etkinleştirin. Bu ilke ayarı, varsayılan etki alanı denetleyicisinin etki alanı denetleyicileri kuruluş birimine (OU) bağlı ilkesinde etkinleştirilmelidir.
14 karakterden uzun parolaları desteklemeyen tüm yazılımları algılamak için denetim ilkesini üç ila altı ay boyunca etkin bırakmanızı öneririz.
Üç ila altı ay boyunca parolaları yöneten yazılımlarda günlüğe kaydedilen Directory-Services-SAM 16978 olayları için etki alanlarını izleyin. Kullanıcı hesaplarıyla günlüğe kaydedilen Directory-Services-SAM 16978 olaylarını izlemeniz gerekmez.
- Mümkünse, yazılımı daha uzun bir parola uzunluğu kullanacak şekilde yapılandırın.
- Yazılımı daha uzun parolalar kullanacak şekilde güncelleştirmek için yazılım satıcısına başvurun.
- Yazılım tarafından kullanılan parola uzunluğuyla eşleşen bir değer kullanarak bu hesap için ayrıntılı bir parola ilkesi dağıtın.
- Hesap parolalarını yöneten ancak otomatik olarak uzun parolalar kullanmayan ve uzun parolalar kullanacak şekilde yapılandırılamayan yazılımlar için, bu hesaplar için ayrıntılı bir parola politikası kullanılabilir.
Tüm Directory-Services-SAM 16978 olayları ele alındıktan sonra, en düşük parolayı etkinleştirin. Bunu yapmak için aşağıdaki adımları izleyin:
- Tüm DC'lerde (Read-Only DC'ler dahil) zorlamayı destekleyen bir Windows Server sürümü dağıtın.
- Tüm DC'lerde RelaxMinimumPasswordLengthLimits grup ilkesi etkinleştirin.
- Configure the MinimumPasswordLength Grup İlkesi grup ilkesi on all DCS.
Grup İlkesi
| İlke yolu ve ayar adı, desteklenen sürümler | Açıklama |
|---|---|
|
İlke yolu: Bilgisayar Yapılandırması > Windows Ayarları > Güvenlik Ayarları > Hesap İlkeleri -> Parola İlkesi -> Minimum parola uzunluğu denetimi Ayar adı: MinimumPasswordLengthAudit Desteklendiği platformlar:
|
Minimum parola uzunluğu denetimi Bu güvenlik ayarı, parola uzunluğu denetim uyarısı olaylarının verildiği en düşük parola uzunluğunu belirler. Bu ayar 1 ile 128 arasında yapılandırılabilir. Bu ayarı yalnızca, ortamınızda minimum parola uzunluğu ayarını artırmanın olası etkilerini belirlemeye çalışırken etkinleştirmeli ve yapılandırmalısınız. Bu ayar tanımlanmazsa, denetim olayları yayınlanmaz. Bu ayar tanımlanırsa ve minimum parola uzunluğu ayarına eşit veya daha küçükse, denetim olayları yayımlanmaz. Bu ayar tanımlanırsa ve minimum parola uzunluğu ayarından büyükse ve yeni bir hesap parolasının uzunluğu bu ayardan azsa, bir denetim olayı yayınlanır. |
| İlke yolu ve ayar adı, desteklenen sürümler | Açıklama |
|---|---|
|
İlke yolu: Bilgisayar Yapılandırması > Windows Ayarları > Güvenlik Ayarları > Hesap İlkeleri -> Parola İlkesi -> En düşük parola uzunluğu sınırlarını gevşetin Ayar adı: RelaxMinimumPasswordLengthLimits Desteklendiği platformlar:
|
En düşük parola uzunluğu eski sınırlarını gevşetin Bu ayar, minimum parola uzunluğu ayarının eski sınır olan 14'ün ötesine çıkarılıp çıkarılamayacağını denetler. Bu ayar tanımlanmamışsa, en küçük parola uzunluğu 14'ten fazla olmayacak şekilde yapılandırılabilir. Bu ayar tanımlanmış ve devre dışı bırakılmışsa, en az parola uzunluğu 14'ten fazla olmayacak şekilde yapılandırılabilir. Bu ayar tanımlanmış ve etkinleştirilmişse, minimum parola uzunluğu 14'ten fazla yapılandırılabilir. Daha fazla bilgi için https://go.microsoft.com/fwlink/?LinkId=2097191 bölümüne bakın. |
| İlke yolu ve ayar adı, desteklenen sürümler | Açıklama |
|---|---|
|
İlke yolu: Bilgisayar Yapılandırması > Windows Ayarları > Güvenlik Ayarları > Hesap İlkeleri -> Parola İlkesi -> Minimum parola uzunluğu Ayar adı: MinimumPasswordLength Desteklendiği platformlar:
|
Bu güvenlik ayarı, bir kullanıcı hesabı parolasının içerebileceği en az karakter sayısını belirler. Bu ayarın en yüksek değeri, En düşük parola uzunluğu sınırlarını gevşet ayarının değerine bağlıdır. Minimum parola uzunluğu sınırlarını gevşet ayarı tanımlanmamışsa, bu ayar 0 ile 14 arasında yapılandırılabilir. Minimum parola uzunluğu sınırlarını gevşet ayarı tanımlanmış ve devre dışı bırakılmışsa, bu ayar 0 ile 14 arasında yapılandırılabilir. Minimum parola uzunluğu sınırlarını gevşet ayarı tanımlanmış ve etkinleştirilmişse, bu ayar 0 ile 128 arasında yapılandırılabilir. Gerekli karakter sayısını 0 olarak ayarlamak, parola gerekmediği anlamına gelir. Notlar Varsayılan olarak, üye bilgisayarlar kendi etki alanı denetleyicilerinin yapılandırmasını izler. Varsayılan değerler:
|
Windows olay günlüğü iletileri
Bu eklenen destek kapsamında üç yeni Olay Kimliği günlüğü iletisi eklenmiştir.
Olay Kimliği 16977
MinimumPasswordLength, RelaxMinimumPasswordLengthLimits veya MinimumPasswordLengthAudit ilke ayarları ilk olarak grup ilkesi yapılandırıldığında veya değiştirildiğinde Etkinlik Kimliği 16977 günlüğe kaydedilir. Bu olay yalnızca DC'lerde günlüğe kaydedilir. RelaxMinimumPasswordLengthLimits değeri yalnızca Windows Server, Sürüm 2004 ve sonraki sürüm DC'lerinde günlüğe kaydedilir.
| Olay günlüğü | Sistem |
|---|---|
| Olay kaynağı | Directory-Services-SAM |
| Olay Kimliği | 16977 |
| Düzey | Bilgi |
| Olay iletisi metni | Etki alanı, parola uzunluğuyla ilgili aşağıdaki minimum ayarlar kullanılarak yapılandırılır. MinimumPasswordLength: RelaxMinimumPasswordLengthLimits: MinimumPasswordLengthAudit: Daha fazla bilgi için https://go.microsoft.com/fwlink/?LinkId=2097191 bölümüne bakın. |
Olay Kimliği 16978
Hesap parolası değiştirildiğinde ve parola geçerli MinimumPasswordLengthAudit ayarından kısa olduğunda Olay Kimliği 16978 günlüğe kaydedilir.
| Olay günlüğü | Sistem |
|---|---|
| Olay kaynağı | Directory-Services-SAM |
| Olay Kimliği | 16978 |
| Düzey | Bilgi |
| Olay iletisi metni | Aşağıdaki hesap, uzunluğu geçerli MinimumPasswordLengthAudit ayarından daha kısa olan bir parola kullanacak şekilde yapılandırılmıştır. Hesap Adı: MinimumPasswordLength: MinimumPasswordLengthAudit: Daha fazla bilgi için https://go.microsoft.com/fwlink/?LinkId=2097191 bölümüne bakın. |
Olay Kimliği 16979 Yürürlük
Denetim Grup İlkesi grup ilkesi ayarları yanlış yapılandırıldığında Olay Kimliği 16979 günlüğe kaydedilecektir. Bu olay yalnızca DC'lerde günlüğe kaydedilir. RelaxMinimumPasswordLengthLimits değeri yalnızca Windows Server, Sürüm 2004 ve sonraki sürüm DC'lerinde günlüğe kaydedilir. Bu zorlama içindir.
| Olay günlüğü | Sistem |
|---|---|
| Olay kaynağı | Directory-Services-SAM |
| Olay Kimliği | 16979 |
| Düzey | Hata |
| Olay iletisi metni | Etki alanı, RelaxMinimumPasswordLengthLimits tanımsız veya devre dışı bırakılmışken 14'ten büyük bir MinimumPasswordLength ayarıyla yanlış yapılandırılmıştır. Notlar Bu düzeltilene kadar, etki alanı 14 gibi daha küçük bir MinimumPasswordLength ayarını zorlar. Şu anda yapılandırılmış olan MinimumPasswordLength değeri: Daha fazla bilgi için https://go.microsoft.com/fwlink/?LinkId=2097191 bölümüne bakın. |
Olay Kimliği 16979 Denetim
Denetim Grup İlkesi grup ilkesi ayarları yanlış yapılandırıldığında Olay Kimliği 16979 günlüğe kaydedilecektir. Bu olay yalnızca DC'lerde günlüğe kaydedilir. Bu eklenen desteğin bir parçası olarak Denetim için yeni bir olay günlüğü iletisi eklenmiştir.
| Olay günlüğü | Sistem |
|---|---|
| Olay kaynağı | Directory-Services-SAM |
| Olay Kimliği | 16979 |
| Düzey | Hata |
| Olay iletisi metni | Etki alanı 14'ten büyük bir MinimumPasswordLength ayarıyla yanlış yapılandırılmıştır. Notlar Bu düzeltilene kadar, etki alanı 14 gibi daha küçük bir MinimumPasswordLength ayarını zorlar. Şu anda yapılandırılmış olan MinimumPasswordLength değeri: Daha fazla bilgi için https://go.microsoft.com/fwlink/?LinkId=2097191 bölümüne bakın . |
Yazılım parolası değiştirme kılavuzu
Yazılımda bir parola belirlerken maksimum parola uzunluğunu kullanın.
Geçmiş
Genel Microsoft güvenlik stratejisi kesin olarak parolasız bir geleceğe odaklanmış olsa da, birçok müşteri kısa ve orta vadede parolalardan uzaklaşamaz. Güvenlik bilincine sahip bazı müşteriler, varsayılan etki alanı minimum parola uzunluğu ayarını 14 karakterden uzun olarak yapılandırabilmek ister (örneğin, müşteriler bunu kullanıcılarını geleneksel kısa, tek belirteçli parolalar yerine daha uzun parolalar kullanma konusunda eğittikten sonra yapabilir). Bu isteği desteklemek için Windows Güncelleştirmeler, Nisan 2018'de Windows Server 2016 için minimum parola uzunluğunu 14 karakterden 20 karaktere çıkaran bir grup ilkesi değişikliğini etkinleştirdi. Bu değişiklik daha uzun parolayı destekliyor gibi görünse de, sonuçta yetersizdi ve grup ilkesi uygulandığında yeni değeri reddetti. Bu retler sessizdi ve sistemin daha uzun parolaları desteklemediğini belirlemek için ayrıntılı testler gerektiriyordu. Sistemin en az 14 karakterden uzun parola uzunluğuyla uçtan uca doğru şekilde çalışmasını sağlamak için hem Windows Server 2016 hem de Windows Server 2019 için Güvenlik Hesabı Yöneticisi (SAM) katmanına yönelik bir takip güncelleştirmesi eklendi. Sistemin en az 14 karakterden uzun parola uzunluğuyla uçtan uca doğru şekilde çalışmasını sağlamak için hem Windows Server 2016 hem de Windows Server 2019 için Güvenlik Hesabı Yöneticisi (SAM) katmanına yönelik bir takip güncelleştirmesi eklendi.
MinimumPasswordLength ilke ayarı, tüm Microsoft platformlarında çok uzun bir süredir (onlarca yıl) 0 ile 14 arasında izin verilen bir aralıktaydı. Bu ayar hem yerel Windows güvenlik ayarları hem de Active Directory (ve bundan önceki NT4 etki alanları) için geçerlidir. Sıfır (0) değeri, hiçbir hesap için parola gerekmediği anlamına gelir.
Windows'un önceki sürümlerinde, Grup İlkesigrup ilkesi UI 14 karakterden uzun minimum parola uzunluğu ayarlamayı etkinleştirmiyordu. Bununla birlikte, Nisan 2018'de aşağıdaki gibi güncelleştirmelerin bir parçası olarak grup ilkesi kullanıcı arabirimine 14 karakterden fazla karakter desteği ekleyen Windows 10 güncelleştirmelerini yayımladık:
- KB 4093120: 17 Nisan 2018—KB4093120 (İS Derlemesi 14393.2214)
Bu güncelleştirme aşağıdaki sürüm notu metnini içeriyordu:
"En az parola uzunluğunu grup ilkesi olarak 20 karaktere çıkarır."
Nisan 2018 sürümlerini ve yerine geçen güncelleştirmeleri yükleyen bazı müşteriler, hala 14 karakterden fazla parola kullanamadıklarını fark etti. Araştırma, parola ilkesinde tanımlanan 14 karakterden uzun parolalara hizmet veren DC rol bilgisayarlarına ek güncelleştirmelerin yüklenmesi gerektiğini belirledi. Aşağıdaki güncelleştirmeler Windows Server 2016, Windows 10, sürüm 1607 ve Windows 10 etki alanı denetleyicilerinin ilk sürümünün 14 karakterden uzun parolalarla oturum açma ve kimlik doğrulama isteklerine hizmet vermesini sağladı:
- KB 4467684: 27 Kasım 2018—KB4467684 (İS Derlemesi 14393.2639)
Bu güncelleştirme aşağıdaki sürüm notu metnini içeriyordu:
"En az parola uzunluğu 14 karakterden fazla olarak yapılandırıldığında etki alanı denetleyicilerinin Grup İlkesi grup ilkesi parola ilkesini uygulamasını engelleyen sorunu giderir."
- KB 4471327: 11 Aralık 2018—KB4471321 (İS Derlemesi 14393.2665)
Bazı müşteriler, Kasım 2018 ve Aralık 2018 güncelleştirmelerine kadar hareketsiz kalan Nisan 2018 ila Ekim 2018 güncelleştirmelerini yükledikten sonra ilkede 14 karakterden fazla parola tanımladı veya yerel bir işletim sistemi, etki alanı denetleyicilerinin ilkede 14 karakterden fazla parolaya hizmet vermesini sağladı, böylece özellik etkinleştirme ile ilke uygulaması arasındaki zaman / nedensellik bağlantısı kaldırıldı. grup ilkesi ve etki alanı denetleyicisi güncelleştirmelerini aynı anda yüklemiş olsanız da olmasanız da aşağıdaki yan etkilerle karşılaşabilirsiniz:
- Şu anda 14 karakterden uzun parolalarla uyumlu olmayan uygulamalarla ilgili sorunlar ortaya çıktı.
- Windows Server 2019'un yayım sürümü veya 14 karakterden fazla parolayı destekleyen güncelleştirilmiş 2016 DC'leri ile 14 karakterden fazla parolayı desteklemeyen Windows Server 2016 öncesi DC'lerin bir karışımından oluşan etki alanları (geri bağlantı noktaları mevcut olana ve Windows Server 2016 için yüklenene kadar) ortaya çıkan sorunlar.
-
KB4467684 yüklendikten sonra "Minimum Parola Uzunluğu" grup ilkesi 14 karakterden fazla yapılandırılırsa küme hizmeti, "2245 (NERR_PasswordTooShort)" hatasını vererek başlatılamayabilir.
Bu bilinen sorun için kılavuz etki alanı varsayılan "Minimum Parola Uzunluğu" ilkesini 14 karakter veya bundan daha kısa bir değere ayarlamaktı. Bir çözüm üzerinde çalışıyoruz ve gelecek bir sürümde bir güncelleştirme sağlayacağız.
Önceki sorunlar nedeniyle Ocak 2019 güncelleştirmelerinde 14 karakterden uzun parolalar için DC tarafı desteği kaldırıldı ve bu özellik kullanılamaz.