Minimum overvåking og håndhevelse av passordlengde på bestemte versjoner av Windows

Oppsummering

Windows 10 oppdateringer utgitt 18. august 2020, legger til støtte for følgende:

• Overvåkingshendelser for å identifisere om programmer og tjenester støtter passord på 15 tegn eller lengre.

• Håndhevelse av minimum passordlengde på 15 tegn eller mer på Windows Server, versjon 2004 domenekontrollere (DCs).

Støttede versjoner av Windows

Overvåking av passordlengder støttes på følgende versjoner av Windows. Håndhevelse av minimum passordlengde på 15 tegn eller mer støttes i Windows Server, versjon 2004 og i senere versjoner av Windows.

Foreslått distribusjon

Retningslinjer for distribusjon

Følg disse trinnene for å legge til støtte for minimum passordlengdeovervåking og håndhevelse:

1. Distribuer oppdateringen på alle støttede Windows versjoner på alle domenekontrollere.

   1. Domenekontroller: Oppdateringene og nyere oppdateringer gjør at støtte på alle DCer kan godkjenne bruker- eller tjenestekontoer som er konfigurert til å bruke passord på mer enn 14 tegn.

   2. Administrativ arbeidsstasjon: Distribuer oppdateringene til administrative arbeidsstasjoner for å tillate bruk av de nye gruppepolicyinnstillingene på DCer.

2. Aktiver innstillingen MinimumPasswordLengthAudit-gruppepolicy på et domene eller en skog der du ønsker lengre nødvendige passord. Denne policyinnstillingen bør aktiveres i standard domenekontrollerens policy som er koblet til domenekontrollerens organisasjonsenhet (OU).

3. Vi anbefaler at du lar overvåkingspolicyen være aktivert i tre til seks måneder for å oppdage all programvare som ikke støtter passord på mer enn 14 tegn.

4. Overvåk domener for Directory-Services-SAM 16978-hendelser som er logget mot programvare som administrerte passord i tre til seks måneder. Du trenger ikke å overvåke Directory-Services-SAM 16978-hendelser som er logget mot brukerkontoer.

   1. Hvis det er mulig, konfigurerer du programvaren til å bruke en lengre passordlengde.

   2. Samarbeid med programvareleverandøren for å oppdatere programvaren for å bruke lengre passord.

   3. Distribuer en finkornet passordpolicy for denne kontoen ved hjelp av en verdi som samsvarer med passordlengden som brukes av programvaren.

   4. For programvare som administrerer kontopassord, men ikke automatisk bruker lange passord og ikke kan konfigureres til å bruke lange passord, kan en finkornet passordpolicy brukes for disse kontoene.

5. Når alle directory-Services-SAM 16978-hendelsene er adressert, må du aktivere et minimum passord. For å gjøre dette, følger du disse trinnene:

   1. Distribuer en versjon Windows server som støtter håndhevelse på alle DCer (Read-Only DCs).

   2. Aktiver gruppepolicyen RelaxMinimumPasswordLengthLimits på alle DCer.

   3. Konfigurer gruppepolicyen MinimumPasswordLength på alle DCer.

Gruppepolicy

Windows meldinger i hendelsesloggen

Tre nye meldinger i hendelses-ID-loggen er inkludert som en del av denne støtten.

Veiledning for endring av programvarepassord

Bruk den maksimale passordlengden når du angir et passord i programvaren.

Logg

Selv om den generelle Microsoft-sikkerhetsstrategien er fokusert på en passord-mindre fremtid, kan mange kunder ikke overføre bort fra passord på kort til mellomlang sikt. Noen sikkerhetsbevisste kunder ønsker å kunne konfigurere en standard innstilling for minimum passordlengde for domene som er større enn 14 tegn (kunder kan for eksempel gjøre dette etter at de lærer brukerne å bruke lengre passfraser i stedet for tradisjonelle korte, enkle tokenpassord). Som støtte for denne forespørselen aktiverte Windows oppdateringer i april 2018 for Windows Server 2016 en gruppepolicyendring som økte minimum passordlengden fra 14 til 20 tegn. Selv om denne endringen så ut til å støtte lengre passord, var den i siste instans utilstrekkelig og avviste den nye verdien da gruppepolicyen ble brukt. Disse avvisningene var stille og nødvendige detaljerte tester for å fastslå at systemet ikke støttet lengre passord. En oppfølgingsoppdatering av Sikkerhetskontobehandling (SAM)-laget ble inkludert for både Windows Server 2016 og Windows Server 2019 for å gjøre det mulig for systemet å fungere riktig fra ende til ende med en minimumslengde på passord som er større enn 14 tegn. En oppfølgingsoppdatering av Sikkerhetskontobehandling (SAM)-laget ble inkludert for både Windows Server 2016 og Windows Server 2019 for å gjøre det mulig for systemet å fungere riktig fra ende til ende med en minimumslengde på passord som er større enn 14 tegn.

Policyinnstillingen MinimumPasswordLength har hatt et tillatt område fra 0 til 14 i svært lang tid (mange tiår) på alle Microsoft-plattformer. Denne innstillingen gjelder både for lokale Windows sikkerhetsinnstillinger og Active Directory (og NT4-domener før dette). En verdi på null (0) betyr at det ikke kreves passord for en konto.

I tidligere versjoner av Windows aktiverte ikke brukergrensesnittet for gruppepolicy å angi minimum nødvendige passordlengder som er lengre enn 14 tegn. I april 2018 lanserte vi imidlertid Windows 10 oppdateringer som la til støtte for mer enn 14 tegn i gruppepolicygrensesnittet som en del av oppdateringer, for eksempel:

• KB 4093120: 17. april 2018 – KB4093120 (OS-bygg 14393.2214)

Denne oppdateringen inkluderte følgende utgivelsesnotattekst:

«Øker minimum passordlengde i gruppepolicy til 20 tegn.»

Noen kunder som installerte utgivelsene for april 2018 og erstatter oppdateringer, fant ut at de fremdeles ikke kunne bruke passord på mer enn 14 tegn. Undersøkelser identifiserte at flere oppdateringer måtte installeres på datamaskiner med dc-rolle som vedlikeholder passord på mer enn 14 tegn som ble definert i passordpolicyen. Følgende oppdateringer aktiverte Windows Server 2016, Windows 10, versjon 1607 og den første utgivelsen av Windows 10-domenekontrollere til tjenestepålogginger og godkjenningsforespørsler med passord på mer enn 14 tegn:

• KB 4467684: 27. november 2018 – KB4467684 (OS-bygg 14393.2639)

Denne oppdateringen inkluderte følgende utgivelsesnotattekst:

«Løser et problem som hindrer domenekontrollere i å bruke policyen for gruppepolicypassord når minimum passordlengde er konfigurert til å være større enn 14 tegn.»

• KB 4471327: 11. desember 2018 – KB4471321 (OS-bygg 14393.2665)

Noen kunder definerte passord med mer enn 14 tegn i policyen etter at de installerte oppdateringene for april 2018 gjennom oppdateringene for oktober 2018, som i hovedsak var sovende frem til november 2018 og desember 2018, eller en opprinnelig OS-aktivert domenekontroller for å bruke passord på mer enn 14 tegn i policyen, og dermed fjerne koblingen for tid/årsakssammenheng mellom funksjonsaktivering og policyprogram. Uansett om du har installert gruppepolicy- og domenekontrolleroppdateringer samtidig eller ikke, kan det hende du ser følgende sideeffekter:

• Utsatte problemer med programmer som for øyeblikket er inkompatible med passord på mer enn 14 tegn.

• Utsatte problemer når domener som består av en blanding av utgivelsesversjonen av Windows Server 2019 eller oppdaterte 2016 DCer som støtter passord med mer enn 14 tegn og forhåndsinstallert Windows Server 2016 DCer som ikke støtter passord på mer enn 14 tegn (inntil det finnes backports og er installert for Windows Server 2016).

• Når du har installert KB4467684,kan det hende at klyngetjenesten ikke starter med feilen «2245 (NERR_PasswordTooShort)» hvis gruppepolicyen «Minimum passordlengde» er konfigurert med større enn 14 tegn.

  Veiledningen for dette kjente problemet var å angi domenestandardpolicyen «Minimum passordlengde» til mindre enn eller lik 14 tegn. Vi jobber med å finne en løsning, og vi kommer med en oppdatering i en kommende utgivelse.

På grunn av de tidligere problemene ble støtte for dc-siden for passord på større enn 14 tegn fjernet i oppdateringene for januar 2019, slik at funksjonen ikke kan brukes.