Windows Server 2012でのパスワードの詳細な管理の実装方法

ITテクノロジの成熟に伴い、企業内のアカウントのセキュリティ管理はますます厳しくなっていますアカウントパスワードのセキュリティ管理は、特に重要です。ドメインレベルは、統一された企業パスワードを達成するために、アカウントおよびパスワードグループポリシーで一様に設定されています。しかし、実際には、IT管理者のアカウントのパスワードが一般ユーザーのパスワードよりも重要であるなど、企業内のユーザーアカウントごとにパスワードの重要性が異なります。 Weiweiの人々にとっては覚えるのは難しくないかもしれませんが、普通のユーザーにとっては覚えるのは簡単なことではないので、それぞれ管理者アカウントと一般ドメインユーザーアカウントにパスワードポリシーを設定する必要があります。それは生まれました。では、どのようにしてさまざまなユーザーパスワードポリシーのきめ細かい管理を実装するのでしょうか。暗号化グループポリシーについてあまり知らない多くの管理者はこれを行います。管理者アカウントと共通ドメインユーザーアカウントを異なる計画されたOUに配置してから、異なるグループポリシーを異なるOUにマウントして別々に構成します。さまざまな種類のユーザーパスワードポリシーを管理するために、さまざまなパスワードポリシーが使用されます。このアプローチは、パスワードのきめ細かい管理には完璧なようですが、期待した結果を達成できますか？確かに、これは私たちの期待を満たすのに十分ではありません。目的の結果を達成できなかった場合、異なるOUの下に構成されたパスワードポリシーの影響は何ですか？次に実験を通して探ります。実験環境：windows server2012R2システムのサーバーDC1およびSVR1がインストールされています（DC1はドメインコントローラー、SVR1はドメイン内のコンピューター）その他の構成は次のとおりです。サーバー名アカウントの種類アカウントメンバーシップグループはOUに属しますDC1ドメインユーザー管理者ドメイン管理者ドメインユーザー管理者ユーザードメインユーザー共通ユーザードメインコンピューターSVR1 //SVR1ローカルアカウントTom //次に、実験的な設定プロセスです。ステップ1：グループポリシーオブジェクトを作成し、DC1にグループポリシーリンクを実装し、サーバーマネージャーからグループを開きます - ツール - グループポリシー管理次に、ポリシー管理コンソールで、グループポリシーオブジェクトに管理者GPOと通常ユーザーGPOをそれぞれ作成し、図に示すように、それらを管理者OUと通常ユーザーOUにリンクします。手順2：ドメイン、管理者OUを編集する共通ユーザーOUの3レベルのパスワードポリシー1. [​​既定のドメインポリシー]を選択し、右クリックして編集してから、表示されるグループポリシー管理エディターを展開します。コンピューターの構成 - ポリシー - Windows設定 - セキュリティ設定 - アカウントポリシー - パスワードポリシー次のパラメータ設定に従います。ここでは、デフォルトドメインポリシーの下でのパスワードの最小長が10ビットであることに注目します。 2、同じ方法は、管理者のGPO編集を選択し、次のように管理者OUの下にパスワードポリシーを設定します。ここでは、8ビットの最小パスワード長に焦点を当てています。 3.引き続き同じ方法を使用し、一般ユーザーのGPO編集を選択し、次のように管理者OUの下にパスワードポリシーを設定します。ここでは、6桁の最小パスワード長に焦点を当てます。手順3：最終的な有効なパスワードポリシーを確認します。 1. DC1でコマンドプロンプトを開き、gpupdate /forceコマンドを実行して設定済みのグループポリシーを更新します。2. ADユーザーとコンピュータを開き、管理者のOUを開き、管理者グループユーザーの管理者パスワードを8桁にリセットします。 1qaz @ WSX、次のプロンプトがポップアップ表示されます。3、一般ユーザーのOUを開く、一般ドメインユーザーuser1のパスワードを6q 1qaz @ Wにリセットしようとすると、次のプロンプトがポップアップ表示されます。 10桁の1qaz @ WSX＃E、ユーザーのパスワードを10桁の1qaz @ WSX＃Eに再設定し、パスワードが変更されたことを確認し、変更が成功したことを示します。つまり、管理者OUと共通ユーザーOUに設定されている管理者GPOと共通ユーザーGPOのパスワードポリシーは無効になり、ドメイン全体に設定されているパスワードポリシーのみが有効になります。パスワードポリシーのきめ細かい管理は、異なるOUにパスワードポリシーを設定することによって実装されます。問題は、異なるOUに設定したパスワードポリシーはどこで有効になるのでしょうか。確認を続けます。 5. SVR1に切り替え、ドメイン管理者アカウントでログインし、コマンドプロンプトを開き、gpupdate /forceコマンドを実行してグループポリシーを更新します。その後、ローカルユーザーとグループを開くと、SVR1パスワードで作成されたローカルユーザーTomが4桁の1qazにリセットされます。パスワードがパスワードポリシーの要件を満たしていませんが、ローカルポリシーで設定されていませんすべてのパスワードポリシー、およびローカルパスワードポリシーはデフォルトで未定義です。引き続き確認してください。この時点で、トムのパスワードを6桁の1qaz @ Wにリセットしてみて、最後にパスワードが設定されます。 6桁の新しいパスワードは、パスワードポリシーの要件を満たしており、パスワードポリシーはローカルからではありません。SVR1に関連付けられているパスワードポリシーの設定は、SVR1コンピュータアカウントが属するOUの通常のユーザーにのみ適用されます。パスワードポリシー、つまり、OUの下のパスワードポリシーはOU内のドメインユーザーアカウントに対して有効ではありませんが、OU内のコンピューターのローカルユーザーに対しては有効です。要約すると、1つのドメインには1つのパスワードポリシーしか存在できず、ドメインレベルのパスワードポリシーのみが有効になり、OUの下のパスワードポリシーはOU内のコンピュータのローカルアカウントにのみ有効になります。これは私たちが学んでいるグループ戦略の適用順序や有効性の原則に反するようですが、アカウントのパスワードセキュリティは非常に重要であり、統一された管理を実現することが必要です。しかし、これでは、さまざまなユーザーのパスワードをきめ細かく管理することができません。学習するための多様なパスワード戦略（2）を実装するには、 Windows
Server2012を参照してください。

パスワードの詳細な管理（1）を実装するためのWindows Server 2012の前のセクションでは、1つのドメインに設定できるパスワードポリシーは1つのみで、ドメインレベルで構成されたパスワードポリシーのみが有効です。ドメイン内のさまざまな種類のユーザー構成の違いに対してパスワードポリシーを実装することで、ユーザーパスワードを実装するというきめ細かいポリシーを解決します。その後、このセクションでは、Windows環境できめ細かい粒状管理を実装する方法に焦点を当てます。 Windows Server 2008より前のリリースでは、ドメインに2セットのパスワードポリシーを実装する方法は他にありませんでした新しいドメインレベルでパスワードポリシーを構成するには、新しいドメインを追加してから管理者アカウントを追加します。しかし、既存ドメインでは、一般のドメインユーザーに対して統一されたパスワードポリシーが設定されていますが、この方法でも要件を満たすことはできますが、実際の運用では新しいドメインとクロスドメイン管理アクセスの両方が必要です。 Windows Server 2008バージョンでは、1つのドメイン内のユーザーごとに異なるパスワード構成を設定できる多様なパスワードポリシーが表示されます。 Windows Server 2008バージョンで多様なパスワードポリシーを設定するには、ADSIエディタでドメインパーティションを開き、Systemコンテナを探し、Password Settingsコンテナを展開して新しいオブジェクトを作成し、ウィザードに従って多様なパスワードポリシーを段階的に実装します。構成後、パスワードポリシーを適用するセキュリティプリンシパルも指定する必要があります（次の図を参照）。 Windows Server 2008ではパスワードをきめ細かく管理できますが、実装が非常に面倒でエラーの可能性が比較的大きいことがわかります。 Windows Server 2012では、この機能が大幅に改善されていますので、Windows Server 2012のActive Directory管理センターから直接パスワードポリシーを簡単に設定するためにADSIエディタを開く必要はありません。多様なパスワードポリシーを設定する前に、いくつかの前提条件が必要です。1.権限：ドメイン管理者グループのメンバー2.ドメインの機能レベル：Windows Server 2008以上3.管理コンソール：Windows Server 2012バージョンActive Directory管理センター
実験環境：windows server 2012 R2システムがインストールされ、ドメイン名contoso.comを持つドメインコントローラーとして構成されたコンピューターDC1。次に、現在の実験環境に基づいて、多様なパスワードポリシーの展開プロセスについて説明します。手順1：ドメインの機能レベルをアップグレードするドメイン内の既定の管理者アカウントを使用してDC1にログインします。ドメイン機能レベルをアップグレードすると、ADユーザーとコンピュータまたはAD管理センターまたはADドメインと信頼関係およびその他のコンソールを開くことができ、ドメインレベルを右クリックして機能レベルを実装できますAD管理センターのドメインの機能レベルのみを強化できます。現在の機能レベルはwindows server2012R2であるため、ドメイン機能レベルの前提条件は満たされています。手順2：ADユーザーとコンピュータ管理コンソールでテストアカウントを準備し、新しい組織単位テストを作成してから、テスト中に共通ドメインアカウントAaronとWhiteを作成し、ドメイン管理者グループにAaronを管理者アカウントとして追加します。zh-CN"],null,[1],zh-TW"]]]