Cómo crear una política de contraseñas en Azure Active Directory

Su política de contraseñas en Azure AD funciona de manera un poco diferente en comparación con lo que puede estar acostumbrado en Active Directory local, ya que no existe un control directo sobre los requisitos de complejidad. Sin embargo, al igual que Active Directory, la política de contraseñas aún le permite definir la longitud de la contraseña y las condiciones de bloqueo, además de proporcionar funciones adicionales, incluidas listas personalizadas de contraseñas prohibidas.

En este tutorial, le mostraré cómo modificar y aumentar la seguridad de su política de contraseñas en Azure Active Directory.

¿Cuál es la política de contraseñas predeterminada de Azure AD?

La política de contraseña predeterminada que se aplica a todas las cuentas de usuario basadas en la nube no se puede modificar más allá de las opciones editables que le guiaré en este tutorial. A continuación puede ver la configuración predeterminada para la política de contraseñas integrada de Azure AD.

Characters allowed: A - Z
a - z
0 - 9
@ # $% ^& * - _ ! +=[ ] { } |\: ' , . ?/`~”(); < >
Espacio en blanco
Characters not allowed: caracteres Unicode
Password restrictions: Un mínimo de 8 caracteres y un máximo de 256 caracteres.
Requiere tres de cuatro de los siguientes:
- Caracteres en minúsculas
- Caracteres en mayúsculas
- Números (0-9)
- Símbolos (ver las restricciones de contraseña anteriores)
Password expiry duration (Maximum password age): Valor predeterminado: 90 días. Si el inquilino se creó después de 2021, no tiene un valor de vencimiento predeterminado. Puede comprobar la política actual con Get-MsolPasswordPolicy.
El valor se puede configurar mediante el cmdlet Set-MsolPasswordPolicy del módulo Azure Active Directory para Windows PowerShell.
Password expiry (Let passwords never expire): Valor predeterminado: falso (indica que las contraseñas tienen una fecha de vencimiento).
El valor se puede configurar para cuentas de usuario individuales mediante el cmdlet Set-MsolUser.
Password change history: La última contraseña no se puede volver a utilizar cuando el usuario cambia una contraseña.
Password reset history: La última contraseña puede utilizarse nuevamente cuando el usuario restablece una contraseña olvidada.

De forma predeterminada, la configuración aplicada anteriormente no es relevante para las cuentas sincronizadas con Azure Active Directory a través de Azure AD Connect, ya que la política de contraseñas de su directorio local tiene prioridad. Sin embargo, puede hacer cumplir la política de contraseñas de Azure AD Connect para que entre en vigor... Consulte mi tutorial para sincronizar su política de contraseñas de Azure AD con AD local.

Cómo cambiar la caducidad de la contraseña en Azure AD

Cambiar la caducidad de la contraseña para todos los usuarios de Azure AD. Vaya al Centro de administración de Microsoft 365 > Configuración > Configuración de la organización > Seguridad y privacidad > Caducidad de la contraseña política. Aquí puede configurar las contraseñas para que nunca caduquen o definir un período de caducidad.

Para evitar el uso de contraseñas simples o predecibles, se recomienda configurarlas para que nunca caduquen y que anime o oriente a sus usuarios a establecer una contraseña segura que solo se use para Azure AD. Hacer esto, además de implementar controles de seguridad básicos, como la autenticación multifactor, es mucho más seguro que habilitar la caducidad de la contraseña. Si desea saber cómo aplicar la autenticación multifactor en su organización, consulte mi tutorial sobre Cómo crear una política de acceso condicional en Azure Active Directory.

Habilite la protección con contraseña en Azure AD

La protección con contraseña en Azure AD proporciona seguridad y control adicionales sobre la configuración de contraseña y las condiciones de bloqueo de su usuario. Las funciones son rápidas y fáciles de configurar y pueden proporcionar una gestión eficaz para evitar contraseñas fáciles de adivinar.

Para acceder a las funciones de protección con contraseña en Azure AD, seleccione Azure Active Directory > Seguridad.

Bajo el encabezado Administrar, seleccione Métodos de autenticación.

Luego seleccione Protección con contraseña.

En la página Protección con contraseña, tiene la opción de configurar el umbral de bloqueo, que determina cuántos intentos fallidos de inicio de sesión fallan hasta que la cuenta cambia al estado bloqueado. La Duración del bloqueo determina cuánto tiempo permanecerá su cuenta en estado bloqueado y usted tiene la opción de implementar una Lista personalizada de contraseñas prohibidas para evitar contraseñas fáciles de adivinar.

Aunque no cubriré la protección con contraseña para Windows Server Active Directory en este tutorial, para habilitarla necesitará el agente DC de protección de contraseña de Azure AD o el proxy de protección de contraseña de Azure AD instalado en un controlador de dominio.

¿Qué sucede cuando implementas una lista de contraseñas prohibidas?

Una lista personalizada de contraseñas prohibidas es una forma sencilla de bloquear eficazmente a los usuarios para que no establezcan contraseñas simples y fáciles de adivinar, como su nombre, el nombre de la empresa o variaciones similares de ambos. La lista personalizada de contraseñas prohibidas solo permite hasta 1000 elementos de la lista, por lo que es importante usarla de manera efectiva.

Cuando aplica la protección con contraseña, incluida su lista de contraseñas prohibidas, si un usuario ya tiene una contraseña que figura en la lista, no habrá ningún impacto para ese usuario, puede continuar trabajando sin interrupciones. Sin embargo, si un usuario luego cambia su contraseña a una que figura en la lista de contraseñas prohibidas, se le presentará el siguiente error.

Cree una lista de contraseñas prohibidas personalizadas efectiva

Debido al límite de contraseñas dentro de la lista personalizada de contraseñas prohibidas, es importante que defina su lista de manera efectiva, en lugar de simplemente copiar y pegar la de otra persona de Internet. Las contraseñas dentro de su lista deben relacionarse de alguna manera con su personal u organización; algunos ejemplos incluyen:

Nombre de empresa
Ubicaciones de la empresa o del personal
Nombre del edificio u oficina
Términos específicos, eslóganes o diálogos utilizados por la empresa.
Nombres de productos o servicios que proporciona la empresa.

Normalización

Cuando se evalúan las contraseñas de la lista, se produce un proceso de normalización para detectar si la contraseña ingresada se encuentra en la lista. Esto significa que las variantes de contraseñas dentro de la lista también se detectan y bloquean automáticamente.

Por ejemplo, si tuviera la frase ourcloudnetwork en la lista de contraseñas prohibidas y alguien usara la contraseña 0urC10udN3w0rk, se bloquearía automáticamente. Esto amplía enormemente la cobertura proporcionada por la lista de contraseñas prohibidas en Azure AD.

Las sustituciones de caracteres se pueden encontrar en la siguiente tabla.

0: oh
1: yo
$: s
@: a

Coincidencia difusa

También se utiliza un proceso llamado coincidencia aproximada para identificar si una contraseña debe permitirse o prohibirse. Para ello, evalúa si la contraseña normalizada se encuentra en la lista de contraseñas prohibidas en función de una variación de caracteres de 1.

Por ejemplo, si la frase ourcloudnetwork aparece en la lista de contraseñas prohibidas, cada una de las siguientes contraseñas también estaría prohibida:

0urC10udN3w0rp - la última letra 'k' ha sido reemplazada por una 'p'
0urC10udN3w0rk6 - Se ha añadido "6" al final.
TurC10udN3w0rk: el primer carácter '0' ha sido reemplazado por 'T'
0urC10udN3w0r - se ha eliminado la letra final 'k'
L0urC10udN3w0rk - 'L' se ha añadido al principio

Coincidencia de subcadenas

La coincidencia de subcadenas se utiliza en la contraseña normalizada para detectar si el nombre, el apellido o el nombre del inquilino se encuentran en la contraseña, independientemente de si esa información se encuentra en la lista de contraseñas prohibidas personalizadas.

Por ejemplo, mi nombre es Daniel Bradley en Azure Active Directory, si intento restablecer mi contraseña a D@ni31network5, una vez normalizada se convierte en Danielnetwork5 y la contraseña ser bloqueado para su uso.

Conclusión

La modificación de la configuración de su contraseña y la implementación de la protección con contraseña a menudo se pasan por alto cuando se migra a la nube únicamente o cuando se ha estado “arreglando” dejando los valores predeterminados en su lugar. Si tiene Azure AD Premium P1 o P2, le recomiendo que revise la configuración de Protección de contraseña en Azure AD y aumente la seguridad de su contraseña ahora. Estos son cambios de alto impacto sin interrupción de la producción.