קביעת תצורה של מדיניות הסיסמאות של Azure AD

מדיניות הסיסמה של Azure Active Directory מגדירה את דרישות הסיסמה עבור משתמשי דיירים, כולל מורכבות הסיסמה, אורך, תפוגת סיסמה, הגדרות נעילת חשבון וכמה פרמטרים אחרים. במאמר זה, נבחן כיצד לנהל מדיניות סיסמאות ב- Azure AD.

ל- Azure AD יש מדיניות סיסמאות ברירת מחדל המוחלת על כל החשבונות הנוצרים בענן (לא מסונכרן מ- Active Directory מקומי דרך Azure AD Connect).

הוא מגדיר את ההגדרות הבאות שלא ניתן לשנות על-ידי מנהל הדייר של Azure/Microsoft 365:

תווים מותרים:
```
A-Z
```
,
```
a-z
```
,
```
0-9
```
,
```
space 
```
וסמלים מיוחדים
```
@ # $ % ^ & * - _ ! + = [ ] { } | \ : ‘ , . ? / ` ~ ” ( )
```
מורכבות סיסמאות: לפחות 3 מתוך 4 קבוצות תווים (אותיות רישיות, אותיות קטנות, מספרים וסמלים)
אורך סיסמה: מינימום 8, מקסימום 256 תווים
המשתמש אינו יכול להשתמש בסיסמה הקודמת

כיצד לשנות מדיניות תפוגת סיסמה ב- Azure AD

כברירת מחדל, תוקף הסיסמה של משתמש לעולם לא יפוג ב- Azure AD (Microsoft 365). אך באפשרותך להפוך את תפוגת הסיסמה לזמינה דרך מרכז הניהול של Microsoft 365:

עבור אל מרכז הניהול של Microsoft 365 -הגדרות > -> אבטחה ופרטיות -> מדיניות תפוגת סיסמה;
בטל את האפשרות הגדר סיסמה כך שתוקפה לא יפוג לעולם (מומלץ);
במקרה זה:
תפוגת סיסמה מוגדרת ל- 90 יום
ההודעה לשינוי הסיסמה שלך תתחיל להיות מוצגת 14 יום לפני תאריך התפוגה.

Microsoft ממליצה לא לאפשר תפוגת סיסמה אם משתמשי Azure שלך משתמשים באימות רב-גורמי (MFA).

באפשרותך להשתמש במודול MSOnline PowerShell כדי לשנות הגדרות תפוגה של סיסמת משתמש. פשוט התקן את המודול (במידת הצורך) והתחבר לדייר שלך:

Install-Module MSOnline
Connect-MsolService

בדוק את הגדרות מדיניות תפוגת הסיסמה הנוכחית ב- Azure AD:

Get-MsolPasswordPolicy -DomainName a-d.site

ExtensionData NotificationDays ValidityPeriod
System.Runtime.Serialization.ExtensionDataObject 14 2147483647

באפשרותך לשנות את מדיניות תפוגת הסיסמה ואת הגדרות ההודעות ב- Azure AD באמצעות PowerShell:

Set-MsolPasswordPolicy -DomainName a-d.site -ValidityPeriod 180 -NotificationDays 21

באפשרותך לנהל הגדרות תפוגת סיסמה עבור משתמש ספציפי באמצעות מודול Azure AD:

Connect-AzureAD

הפעל את האפשרות הפוך את הסיסמה לזמינה עבור משתמש ספציפי:

Set-AzureADUser -ObjectId "[email " -PasswordPolicies DisablePasswordExpiration

הצג את תאריך התפוגה של סיסמת המשתמש:

Get-AzureADUser -ObjectId "[email "|Select-Object @{N="PasswordNeverExpires";E={$_.PasswordPolicies -contains "DisablePasswordExpiration"}}

PasswordNeverExpires
--------------------
True

אפשר תפוגת סיסמה עבור המשתמש:

Set-AzureADUser -ObjectId "[email " -PasswordPolicies None

הגדרות נעילת חשבון ב- Azure AD

פרמטר נוסף של מדיניות הסיסמה של Azure הזמין עבור מנהל המערכת לקבוע את תצורתו הוא כללי נעילת המשתמש במקרה של הזנת סיסמה שגויה. כברירת מחדל, חשבון ננעל למשך דקה אחת לאחר 10 ניסיונות כושלים לבצע אימות באמצעות סיסמה שגויה. שים לב שזמן הנעילה מוארך לאחר כל ניסיון כניסה כושל הבא.

באפשרותך לקבוע את תצורת הגדרות הנעילה בסעיף הבא של Azure Portal -> Azure Active Directory -> Security -> שיטות אימות —> הגנה באמצעות סיסמה.

האפשרויות הזמינות לשינוי הן:

סף נעילה - מספר ניסיונות הכניסה הכושלים לפני נעילת החשבון (10 כברירת מחדל);
משך נעילה בשניות - 60 שניות כברירת מחדל.

אם החשבון שלו נעול, משתמש Azure יראה את ההודעה הבאה:

Your account is temporarily locked to prevent unauthorized use. Try again later, and if you still have trouble, contact your admin.

למד כיצד לבדוק יומני כניסה של משתמשים ב- Azure AD.

מניעת שימוש בסיסמאות חלשות ופופולריות ב- Azure AD

קיימת תכונה נפרדת של הגנת סיסמה של Azure AD המאפשרת לך לחסום את השימוש בסיסמאות חלשות ופופולריות (כגון [email , Pa$$word וכו ').

באפשרותך להשתמש במודול DSInternals PowerShell כדי לבדוק אם קיימות סיסמאות משתמש חלשות ב- Active Directory המקומי.

באפשרותך להגדיר רשימה משלך של סיסמאות חלשות ב- Azure Active Directory -> Security -> Authentication methods —> הגנה באמצעות סיסמה. הפעל את האפשרות אכוף רשימה מותאמת אישית והוסף רשימה של סיסמאות שברצונך לחסום (עד 1000 סיסמאות).

כאשר משתמש Azure AD מנסה לשנות את הסיסמה שלו לאחת מהרשימות המוחרמות, מוצגת הודעה:

Unfortunately, you can’t use that password because it contains words or characters that have been blocked by your administrator. Please try again with a different password.

הגדרות אלה מוחלות כברירת מחדל רק על משתמשי ענן ב- Azure.

אם ברצונך להחיל רשימת סיסמאות אסורות על משתמשי Active Directory DS המקומיים, זה מה שעליך לעשות:

ודא שיש לך מנוי Azure AD Premium P1 או P2;
הפעל את האפשרות הפוך הגנה באמצעות סיסמה לזמינה ב- Windows Server Active Directory;
תצורת ברירת המחדל מאפשרת רק ביקורת של השימוש האסור בסיסמה. לכן, לאחר הבדיקה, העבר את אפשרות המצב לאכיפה;
פריסת שירות ה- Proxy להגנה באמצעות סיסמה של Azure AD (
```
AzureADPasswordProtectionProxySetup.msi
```
) באחד המארחים המקומיים;
התקן הגנה באמצעות סיסמה של Azure AD (
```
AzureADPasswordProtectionDCAgentSetup.msi
```
) בכל בקרי התחום של ADDS .

אם ברצונך להחיל את מדיניות הסיסמה של Azure על משתמשים המסונכרנים מ- AD DS באמצעות Azure AD Connect, עליך להפעיל את האפשרות אכוףCloudPasswordPolicyForPasswordSyncedUsers:

Set-MsolDirSyncFeature -Feature EnforceCloudPasswordPolicyForPasswordSyncedUsers -Enable $true

ודא שהגדרת מדיניות סיסמאות תחום חזקה מספיק ב- Active Directory המקומי שלך. אחרת, משתמשים מסונכרנים יכולים להגדיר כל סיסמה, כולל סיסמאות חלשות ולא מאובטחות.

במקרה זה, כאשר סיסמת משתמש משתנה או מאופסת ב- Active Directory מקומי, המשתמש נבדק מול רשימת הסיסמאות האסורות ב- Azure.

אם סינכרון Azure AD Connect זמין, באפשרותך להשתמש במדיניות סיסמאות משלך מ- Active Directory מקומי כדי להחיל על משתמשי ענן. לשם כך, עליך ליצור מדיניות סיסמאות אבטחה גרעינית עדינה במודעה המקומית ולקשר אותה לקבוצה המכילה את המשתמשים המסונכרנים עם הענן. במקרה זה, Azure Active Directory יפעל בהתאם למדיניות הסיסמאות של התחום המקומי שלך.