Fine-Grained Password Policies w Active Directory – różne zasady haseł dla różnych użytkowników

Przez wiele lat administratorzy Active Directory mieli do dyspozycji tylko jedną główną politykę haseł dla całej domeny. Jeżeli firma wymagała:

• minimum 8 znaków hasła,
• historii 10 poprzednich haseł,
• blokady konta po kilku nieudanych próbach,

ustawienia te obowiązywały wszystkich użytkowników domeny.

To podejście sprawdzało się w małych środowiskach, ale w większych organizacjach szybko pojawiał się problem.

Administratorzy domeny, zwykli pracownicy, konta serwisowe i użytkownicy uprzywilejowani mają zupełnie różne wymagania bezpieczeństwa.

Konto administratora domeny powinno być chronione znacznie bardziej restrykcyjnie niż konto zwykłego użytkownika.

Rozwiązaniem są Fine-Grained Password Policies (FGPP), czyli szczegółowe polityki haseł w Active Directory.

Czym są Fine-Grained Password Policies?

Fine-Grained Password Policies pozwalają definiować różne zasady dotyczące haseł dla różnych grup użytkowników w jednej domenie Active Directory.

Dzięki FGPP można ustawić osobne wymagania dla:

• administratorów,
• pracowników,
• działu IT,
• kont serwisowych,
• aplikacji wykorzystujących konta domenowe.

Przykład:

Standardowi użytkownicy:

Minimum password length: 12
Maximum password age: 90 dni
Lockout threshold: 5 prób

Administratorzy:

Minimum password length: 20
Maximum password age: 30 dni
Lockout threshold: 3 próby

Konta usług:

Password never expires
Minimum length: 30 znaków

Wszystko działa w ramach jednej domeny.

Dlaczego klasyczna polityka haseł nie wystarcza?

Standardowa polityka domenowa znajduje się tutaj:

Default Domain Policy
 └── Computer Configuration
      └── Windows Settings
           └── Security Settings
                └── Account Policies

Obejmuje:

• Password Policy,
• Account Lockout Policy,
• Kerberos Policy.

Problem:

działa tylko jedna polityka dla całej domeny.

Przykład:

Firma ma:

• 5000 użytkowników,
• 50 administratorów,
• 200 kont aplikacyjnych.

Jeżeli administrator zwiększy wymagania do poziomu administratorów:

Hasło minimum 24 znaki

wszyscy pracownicy musieliby stosować takie same zasady.

Jeżeli zostawi prostsze hasła:

administratorzy również będą objęci słabszą ochroną.

Jak działają FGPP od strony technicznej?

Fine-Grained Password Policies nie są zwykłymi obiektami Group Policy.

To bardzo ważna różnica.

Nie tworzy się ich w:

Group Policy Management Console

Są przechowywane bezpośrednio w Active Directory jako obiekty:

Password Settings Object (PSO).

Lokalizacja:

CN=Password Settings Container
CN=System
DC=firma
DC=local

Każdy PSO posiada własne parametry.

Password Settings Object (PSO)

PSO zawiera ustawienia takie jak:

• minimalna długość hasła,
• złożoność hasła,
• historia haseł,
• maksymalny czas życia hasła,
• minimalny czas życia hasła,
• blokada konta,
• czas blokady.

Przykład:

PSO_Admins

Password Length:
20

Password History:
24

Lockout Threshold:
3

Do czego przypisuje się FGPP?

W przeciwieństwie do GPO, FGPP nie przypina się do:

• OU,
• komputerów,
• lokalizacji.

Przypisuje się je bezpośrednio do:

• użytkowników,
• grup zabezpieczeń.

Najczęściej stosuje się grupy.

Przykład:

GRP_Domain_Admins
        |
        ↓
PSO_Admin_Strong

Każdy członek grupy otrzymuje daną politykę.

Przykład wdrożenia FGPP

Załóżmy domenę:

firma.local

Mamy trzy grupy:

Domain Admins
IT Support
Employees

Tworzymy trzy polityki.

Polityka dla administratorów

Nazwa:
PSO_Admin

Minimum password length:
20

Password history:
30

Lockout:
3 próby

Polityka dla działu IT

Nazwa:
PSO_IT

Minimum password length:
16

Password history:
20

Polityka dla pracowników

Nazwa:
PSO_Users

Minimum password length:
12

Password history:
10

Efekt:

każda grupa otrzymuje inne wymagania.

Priorytet wielu FGPP

Może zdarzyć się sytuacja, w której użytkownik otrzyma kilka polityk.

Przykład:

Użytkownik:

Jan Kowalski

należy do:

Employees

oraz:

IT Support

Obie grupy mają własne PSO.

Która polityka zostanie zastosowana?

Decyduje parametr:

Precedence

czyli priorytet.

Niższa wartość oznacza wyższy priorytet.

Przykład:

Zastosowana zostanie:

PSO_Admin

msDS-PasswordSettingsPrecedence

W Active Directory priorytet przechowywany jest w atrybucie:

msDS-PasswordSettingsPrecedence

Przykład:

PSO_Admin

msDS-PasswordSettingsPrecedence:
1

im niższa liczba, tym większa ważność.

Jak sprawdzić zastosowaną politykę?

Administrator może użyć PowerShell.

Moduł:

ActiveDirectory

Polecenie:

Get-ADUserResultantPasswordPolicy username

Przykład:

Get-ADUserResultantPasswordPolicy jan.kowalski

wynik pokaże:

• aktywny PSO,
• długość hasła,
• blokadę konta.

Tworzenie FGPP przez PowerShell

Przykład:

New-ADFineGrainedPasswordPolicy `
-Name "PSO_Admins" `
-MinPasswordLength 20 `
-PasswordHistoryCount 24 `
-ComplexityEnabled $true `
-LockoutThreshold 3 `
-Precedence 1

Następnie przypisanie do grupy:

Add-ADFineGrainedPasswordPolicySubject `
-Identity "PSO_Admins" `
-Subjects "Domain Admins"

FGPP a konta serwisowe

Jednym z ciekawszych zastosowań są konta usług.

Wiele firm ma problem:

aplikacja wymaga konta domenowego:

svc_sql
svc_backup
svc_monitoring

Administrator nie chce:

• wymuszać częstej zmiany hasła,
• ryzykować awarii aplikacji.

Można stworzyć osobną politykę:

PSO_ServiceAccounts

z zasadami:

• bardzo długie hasło,
• brak wygasania,
• ograniczone prawa.

Przykład:

Hasło:
40 znaków

Uprawnienia:
tylko wymagana usługa

FGPP a bezpieczeństwo Active Directory

Fine-Grained Password Policies są szczególnie ważne po wdrożeniu modelu:

• Least Privilege,
• Administrative Tiering,
• Privileged Access Management.

Przykład:

Konto Tier 0:

Minimum:
24 znaki

Konto zwykłego użytkownika:

Minimum:
12 znaków

Dzięki temu najbardziej wartościowe konta są chronione najmocniej.

Najczęstsze błędy przy FGPP

Próba ustawiania FGPP przez GPO

To częsty błąd.

FGPP nie znajduje się w Group Policy Management.

Przypisywanie do użytkowników zamiast grup

Technicznie działa, ale jest trudne w utrzymaniu.

Lepszy model:

Użytkownik
 ↓
Grupa
 ↓
PSO

Zbyt wiele wyjątków

Jeżeli każdy użytkownik ma własną politykę, środowisko staje się trudne do kontroli.

Brak audytu grup

Zmiana członkostwa grupy może automatycznie zmienić wymagania dotyczące haseł.

FGPP a Azure AD / Entra ID

Warto rozróżnić klasyczne Active Directory od chmury Microsoft.

Fine-Grained Password Policies dotyczą:

• Active Directory Domain Services.

W środowiskach:

• Microsoft Entra ID,
• Microsoft 365,

stosuje się inne mechanizmy:

• Conditional Access,
• MFA,
• Identity Protection,
• Password Protection.

Czy FGPP zastępuje MFA?

Nie.

To bardzo ważne.

Silne hasło nie chroni przed wszystkimi zagrożeniami.

Ataki takie jak:

• phishing,
• kradzież sesji,
• malware,
• token theft,

mogą ominąć nawet bardzo długie hasło.

Dlatego współczesne środowisko powinno łączyć:

• FGPP,
• MFA,
• monitoring,
• ograniczenie uprawnień,
• ochronę kont uprzywilejowanych.

Podsumowanie

Fine-Grained Password Policies rozwiązują jeden z największych problemów klasycznego Active Directory – brak możliwości stosowania różnych zasad haseł dla różnych użytkowników.

Dzięki FGPP administrator może stworzyć model, w którym:

• zwykli użytkownicy mają standardowe wymagania,
• administratorzy posiadają znacznie silniejszą ochronę,
• konta usług mają specjalne zasady,
• krytyczne konta domenowe są zabezpieczone najlepiej.

Najważniejsza zasada:

Nie wszystkie konta w Active Directory mają taką samą wartość. Polityka haseł również nie powinna być taka sama dla wszystkich.

W połączeniu z tieringiem administracyjnym, MFA i kontrolą uprawnień FGPP staje się jednym z elementów budowania odpornej infrastruktury Windows Server.

Polecane wpisy

Windows Server – Kompleksowy przewodnik po systemie operacyjnym dla serwerów

Windows Server – Kompleksowy przewodnik po systemie operacyjnym dla serwerów Wstęp Windows Server to zaawansowany system operacyjny firmy Microsoft, stworzony Czytaj dalej

Jak zintegrować usługi DNS i DHCP z Active Directory w Windows Server

Jak zintegrować usługi DNS i DHCP z Active Directory w Windows Server Wstęp Usługi DNS (Domain Name System) i DHCP Czytaj dalej