Política de contraseñas detallada en Active Directory

Las políticas de contraseñas detalladas (FGPP) le permiten crear varias políticas de contraseñas para usuarios o grupos específicos. Varias políticas de contraseñas están disponibles a partir de la versión Windows Server 2008 de Active Directory. En versiones anteriores de AD, solo podía crear una política de contraseñas por dominio (usando la Política de dominio predeterminada).

En este artículo, mostraremos cómo crear y configurar varios objetos de configuración de contraseña en un dominio de Active Directory.

Conceptos detallados de políticas de contraseñas

Las políticas de contraseña detalladas permiten a un administrador crear varios objetos de configuración de contraseña (PSO) personalizados en un dominio de AD. En los PSO, puede establecer los requisitos de la contraseña (longitud, complejidad, historial) y las opciones de bloqueo de la cuenta. Las políticas de PSO se pueden asignar a usuarios o grupos específicos, pero no a los contenedores de Active Directory (OU). Si se asigna un PSO a un usuario, la configuración de la política de contraseñas del GPO de política de dominio predeterminado ya no se aplica al usuario.

Por ejemplo, con las políticas de FGPP puede aumentar los requisitos de longitud y complejidad de las contraseñas para las cuentas de administrador, las cuentas de servicio o los usuarios que tienen acceso externo a los recursos del dominio (a través de VPN o DirectAccess).

Requisitos básicos para usar múltiples políticas de contraseñas FGPP en un dominio:

• Nivel funcional de dominio del dominio de Windows Server 2008 o posterior;

• Las políticas de contraseña se pueden asignar a usuarios o grupos de seguridad Global (!);

• FGPP se aplica por completo (no puede establecer algunas de las configuraciones de contraseña en el GPO y algunas de ellas en FGPP)

¿Cómo crear una política de configuración de contraseña (PSO) en Active Directory?

En Windows Server 2012 y versiones posteriores, puede crear y editar políticas de contraseña detalladas desde la interfaz gráfica de la consola del Centro de administración de Active Directory (ADAC).

En este ejemplo, le mostraremos cómo crear y asignar una política de contraseñas separada para el grupo Administradores de dominio.

Inicie el Centro de administración de Active Directory (

dsac.msc

), cambie a la vista de árbol y expanda el contenedor Sistema. Busque el Contenedor de configuración de contraseña, haga clic con el botón derecho en él y seleccione Nuevo -> Configuración de contraseña Configuración.

Especifique el nombre de la política de contraseñas (en nuestro ejemplo es Política de contraseñas para administradores de dominio) y configure sus ajustes (longitud mínima y complejidad de una contraseña, la cantidad de contraseñas almacenadas en el historial, ajustes de bloqueo, frecuencia para cambiar la contraseña, etc.).

msDS-PasswordSettings

msDS-LockoutDuration
msDS-LockoutObservationWindow
msDS-LockoutThreshold
msDS-MaximumPasswordAge
msDS-MinimumPasswordAge
msDS-MinimumPasswordLength
msDS-PasswordComplexityEnabled
msDS-PasswordHistoryLength
msDS-PasswordReversibleEncryptionEnabled
msDS-PasswordSettingsPrecedence

Preste atención al atributo Precedencia. Este atributo determina la prioridad de la política de contraseñas actual. Si un objeto tiene asignadas varias políticas FGPP, se aplicará la política con el valor más bajo en el campo Precedencia.

A continuación, agregue grupos o usuarios en la sección Directamente se aplica a para aplicar la política (en nuestro caso, se trata de administradores de dominio). Le recomendamos que aplique la política de PSO a grupos en lugar de a usuarios individuales. Guarde la política.

Después de eso, esta política de contraseñas se aplicará a todos los miembros del grupo de administradores de dominio.

Inicie Usuarios y equipos de Active Directory (

dsa.msc

) (con la opción Funciones avanzadas habilitada) y abra las propiedades de cualquier usuario del grupo Administradores de dominio. Vaya a la pestaña Editor de atributos y seleccione la opción Construido en el campo Filtro.

Busque el atributo de usuario msDS-ResultantPSO. Este atributo muestra la política de contraseñas habilitada para un usuario (

CN=Password Policy for Domain Admin,CN=Password Settings Container,CN=System,DC=a-d,DC=com

).

También puede obtener la política de PSO actual para un usuario utilizando la herramienta dsget:

dsget user "CN=Max,OU=Admins,DC=a-d,DC=com" -effectivepso

Configuración de políticas de contraseña detalladas (PSO) mediante PowerShell

Puede administrar las políticas de contraseñas de PSO mediante PowerShell (el módulo Active Directory PowerShell debe estar instalado en su computadora).

El cmdlet New-ADFineGrainedPasswordPolicy se usa para crear un nuevo PSO:

New-ADFineGrainedPasswordPolicy -Name “Admin PSO Policy” -Precedence 10 -ComplexityEnabled $true -Description “Domain password policy for admins”-DisplayName “Admin PSO Policy” -LockoutDuration “0.20:00:00” -LockoutObservationWindow “0.00:30:00” -LockoutThreshold 6 -MaxPasswordAge “12.00:00:00” -MinPasswordAge “1.00:00:00” -MinPasswordLength 8 -PasswordHistoryCount 12 -ReversibleEncryptionEnabled $false

Ahora puede asignar una política de contraseñas a un grupo de usuarios:

Add-ADFineGrainedPasswordPolicySubject “Admin PSO Policy” -Subjects “Domain Admins”

Para cambiar la configuración de la política de PSO:

Set-ADFineGrainedPasswordPolicy "Admin PSO Policy" -PasswordHistoryCount:"12"

Enumere todas las políticas de FGPP en un dominio:

Get-ADFineGrainedPasswordPolicy -Filter *

Utilice el comando Get-ADUserResultantPasswordPolicy para obtener la política de contraseñas resultante que se aplica a un usuario específico.

Get-ADUserResultantPasswordPolicy -Identity jsmith

El nombre del PSO que se aplica al usuario se especifica en el campo Nombre.

Puede mostrar la lista de políticas de PSO asignadas a un grupo de Active Directory mediante el cmdlet Get-ADGroup:

Get-ADGroup "Domain Admins" -properties * | Select-Object msDS-PSOApplied

Para mostrar la configuración de la política de contraseña predeterminada del GPO de política de dominio predeterminado, ejecute el comando:

Get-ADDefaultDomainPasswordPolicy

P@ssw0rd

Pa$$w0rd