PowerShell: configuración de políticas de contraseña detalladas (PSO)
Desde Windows Server 2008, los administradores de dominio pueden configurar políticas de contraseñas por usuario y por grupo. Este artículo muestra cómo configurar políticas de contraseña (Objetos de configuración de contraseña) con PowerShell.
Requisitos previos
Asegúrese de que su dominio esté ejecutando el modo de dominio 2008 o superior. Todos los controladores de dominio deben ejecutar Windows Server 2008 o superior y el modo de dominio debe estar configurado en Windows Server 2008. Para verificar, abra PowerShell y ejecute
Get-ADDomain | Select-Object Domainmode
Para cambiar el modo de dominio, ejecute Set-ADDomainMode. No te preocupes por el nombre de dominio. Obtenemos el nombre de la variable de entorno. Ejemplo (modo de dominio de Windows Server 2016):
Set-ADDomainMode -Identity $env:userdnsdomain -DomainMode Windows2016Domain
Introducción
La política de dominio predeterminada
Seguro que conoce el propósito de la política de contraseña predeterminada que forma parte de la Política de dominio predeterminada:
Get-ADDefaultDomainPasswordPolicy
Esta política es obligatoria para todos los usuarios de Active Directory. Configuremos nuevas políticas para usuarios y/o grupos particulares.
El Centro administrativo de Active Directory (dsac.exe)
En primer lugar: por supuesto, puede configurar políticas de contraseñas mediante la interfaz gráfica. Ejecute dsac para abrir el Centro administrativo de Active Directory. Navegue hasta Sistema - Contenedor de configuración de contraseña y haga clic en Nuevo. Aquí puede configurar sus ajustes de contraseña utilizando la interfaz gráfica.
Pero en este artículo se trata de PowerShell. ? Los hombres de verdad no hacen clic.
Configuración de políticas de contraseña detalladas con PowerShell
Supongamos que el objetivo es configurar una política más restrictiva para los miembros del grupo de RRHH. Queremos establecer la longitud mínima de la contraseña en 10 caracteres. (predeterminado: 7). Para hacerlo podemos utilizar el cmdlet New-ADFineGrainedPasswordpolicy.
New-ADFineGrainedPasswordPolicy -Name "HR_length_10" -MinPasswordLength 10 -Precedence 1
Preste atención a la prioridad de los parámetros obligatorios. Si se configuran varias políticas, se utiliza la política con la prioridad más baja. Lo que significa: cuanto menor sea el número, mayor será la prioridad. Más sobre esto más adelante.
Agregar políticas de contraseña detalladas a usuarios o grupos
Ahora, el objeto de contraseña configurado anteriormente debe asignarse al grupo HR.
Add-ADFineGrainedPasswordPolicySubject "HR_length_10" -Subjects "HR"
Comprobando la configuración
Ahora vamos a hacer algunas comprobaciones.
Política de contraseñas Get-ADFineGrained
Veamos qué hemos configurado.
Get-ADFineGrainedPasswordPolicy "HR_length_10"
Obtener-ADGroup
Get-ADGroup "HR" -properties * | Select-Object msDS-PSOApplied
Eso se ve bien. La política está asignada al grupo de RR.HH.
Jugar con órdenes de precedencia (msDS-ResultantPSO)
Como se mencionó, podemos usar órdenes de precedencia. Cuanto menor sea el número, mayor será la prioridad. Configuremos otro PSO para el grupo de recursos humanos, establezcamos la prioridad en 10 y configuremos una longitud de contraseña de 20.
New-ADFineGrainedPasswordPolicy -Name "HR_length_20" -MinPasswordLength 20 -Precedence 10Add-ADFineGrainedPasswordPolicySubject "HR_length_20" -Subjects "HR"Ahora hemos configurado 2 políticas de contraseña. Ambos están asignados a RRHH.
¿Cuál de ellos se utiliza? Recuerda, Petra es miembro del Grupo HR. Echemos un vistazo a la cuenta de Petra. Y el ganador es …
Get-ADUserResultantPasswordPolicy petra
O consulte el atributo msDS-ResultantPSO:
Cuanto menor sea el número, mayor será la prioridad...
Para cambiar la contraseña predeterminada y la política de bloqueo que se aplica a todos los usuarios, consulte la publicación de mi blog Active Directory: cambio de la contraseña predeterminada y las políticas de bloqueo
¡Diviértete jugando con las políticas de contraseñas!