Windows server 2012 颗粒化密码策略

黄智勇

　　在Windows Server2012中，在AD管理中心中提供了用户界面管理颗粒化密码策略，使管理变得更加容易和更直观。
　　现在，管理员可以直接查看对象策略结果。
　　注意事项：
　　细粒度密码政策适用于全局安全组和用户对象
　　默认情况下，只有Domain Admins组的成员可以设置细粒度密码政策。也可以委托其他用户设置这些政策的能力。
　　域功能级别必须是Windows Server 2008或更高。
　　以下是实现过程：
　　1.提升域功能级别，至少是Server2008以上。

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/120720135120a37cdb81c59ed7.jpg

　　2.创建测试用户，默认是启用了密码复杂性，所以创建时需符合密码复杂性。

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/12072013533f2834aedd3a54aa.jpg

　　3.创建颗粒化密码策略，
　　打开ADAC，管理，添加导航节点，

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/1207201407de89433e65573352.jpg

　　导向至 System----Password Settings Container

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/120720140729129302e6b93999.jpg

　　新建密码设置，应用到对象，这里为a用户。

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/12072014094b3bdaaa328f13d3.jpg

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/1207201417a0b45d1249aeeace.jpg

　　Powershell等效命令,由你定义结节了,引自technet：

• 　　New-ADFineGrainedPasswordPolicy -ComplexityEnabled:$true -LockoutDuration:"00:30:00" -LockoutObservationWindow:"00:30:00" -LockoutThreshold:"0" -MaxPasswordAge:"42.00:00:00" -MinPasswordAge:"1.00:00:00" -MinPasswordLength:"7" -Name:"TestPswd" -PasswordHistoryCount:"24" -Precedence:"1" -ReversibleEncryptionEnabled:$false
  
• 　　Set-ADObject -Identity:"CN=TestPswd,CN=Password Settings Container,CN=System,DC=contoso,DC=com" -ProtectedFromAccidentalDeletion:$true
  
• 　　Add-ADFineGrainedPasswordPolicySubject -Identity:"CN=TestPswd,CN=Password Settings Container,CN=System,DC=contoso,DC=com"
  
• 　　"
  

　　复制代码
　　4.检查策略结果，

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/12072014203571207fcec36497.jpg

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/1207201420dd1562b006cbd5d7.jpg

　　喜欢Powershell的：

• 　　Get-ADUserResultantPasswordPolicy a
  

　　复制代码
　　没应用策略的用户结果会这样，

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/1207201421d691e3fc73f06d8a.jpg

　　修改用户密码验证结果，是成功的。

http://bbs.winos.cn/images/default/attachimg.gif http://bbs.winos.cn/attachments/month_1207/1207201422a2fb3a1e42f97911.jpg

　　从上面过程得出，比早期的方式简单吧，也不需要借助第三方工具了。