11、管理细粒度密码和账户锁定策略

### Windows 系统密码策略设置指南 在 Windows 系统中，密码策略的配置可以通过本地安全策略或活动目录 (AD) 域策略来实现。以下是关于如何设置密码策略的详细说明： #### 1. **本地安全策略设置** 对于单机系统或非域环境，可以使用“本地安全策略”工具进行密码策略配置。步骤如下： - 打开“运行”对话框（Win + R），输入 `secpol.msc` 并回车。 - 在左侧导航栏中选择“帐户策略” -> “密码策略”。 - 右键点击需要修改的策略项（例如“密码必须符合复杂性要求”或“最短密码长度”），然后选择“属性”。 - 根据需求调整相关参数值。 例如，为了提高密码强度，可以启用“密码必须符合复杂性要求”[^4]，并确保密码至少包含六位字符，并结合大写字母、小写字母、数字和特殊字符中的三类[^4]。 #### 2. **活动目录域策略设置** 对于域环境，可以通过组策略对象 (GPO) 来集中管理密码策略。步骤如下： - 打开“组策略管理控制台”（GPMC），右键点击目标域或组织单位 (OU)，选择“创建 GPO 并链接到这里”。 - 编辑新建的 GPO，在左侧导航栏中依次展开“计算机配置” -> “策略” -> “Windows 设置” -> “安全设置” -> “帐户策略” -> “密码策略”。 - 修改相关策略项，如“密码最小长度”、“密码最长存留期”等。 - 配置完成后，确保将 GPO 应用于目标用户或计算机。 细粒度密码策略允许为不同用户集定义不同的密码和帐户锁定策略[^1]，这对于大型组织尤为重要。需要注意的是，细粒度密码策略仅适用于特定用户对象或 inetOrgPerson 对象[^1]。 #### 3. **密码策略推荐配置** 根据最佳实践，建议配置以下密码策略参数以增强安全性[^2]： - **密码最小长度**：设置为至少 8 个字符。 - **密码必须符合复杂性要求**：启用此选项以强制密码包含多种字符类型。 - **密码最长存留期**：建议设置为 60 至 90 天，确保密码定期更新。 - **密码最短存留期**：设置为 1 至 7 天，防止用户频繁更改密码。 - **强制密码历史**：设置为至少 24 个密码，避免用户重复使用旧密码。 此外，密码不应包含用户的姓名、账户名或其他容易猜测的信息[^4]。 #### 4. **示例代码：通过 PowerShell 设置密码策略** 如果需要通过脚本批量设置密码策略，可以使用以下 PowerShell 脚本： ```powershell # 设置密码策略 secedit /export /cfg c:\security.cfg (Get-Content C:\security.cfg).Replace("PasswordComplexity = 0", "PasswordComplexity = 1") | Set-Content C:\security.cfg (Get-Content C:\security.cfg).Replace("MinimumPasswordLength = 0", "MinimumPasswordLength = 8") | Set-Content C:\security.cfg secedit /configure /db secedit.sdb /cfg c:\security.cfg /areas SECURITYPOLICY ``` 上述脚本将启用密码复杂性要求，并将最小密码长度设置为 8 个字符。 ---