Как настроить политики паролей в Active Directory

Правильная настройка политик паролей в Active Directory позволяет централизованно управлять требованиями к доменным учётным записям и снижать риск подбора либо повторного использования секретов. Однако сама политика не заменяет многофакторную аутентификацию, безопасное хранение учётных данных и контроль привилегий. Она должна быть частью единой схемы управления доступом, иначе формальные требования быстро расходятся с реальными процедурами выдачи и смены паролей.

В доменной среде действуют три основных механизма: общая политика паролей домена, точечные политики для пользователей и групп, а также объекты параметров паролей. Итоговые правила вычисляются с учётом приоритета этих механизмов, поэтому изменение одной записи может коснуться тысяч сотрудников или, наоборот, не примениться к выбранной учётной записи. Требования к сложности остаются общедоменными, и обойти их точечной политикой нельзя.

Главный риск связан с атаками подбора небольшого набора типовых паролей, подбором по словарю и входом через учётные записи, пароли которых уже утекли. Длинная устойчивая фраза, менеджер паролей и проверка по списку распространённых и скомпрометированных значений сокращают эти риски лучше, чем сложная комбинация символов, которую трудно запомнить.

Перед изменением настроек нужно определить категории учётных записей, проверить влияние на приложения и автоматические задания, подготовить резервные административные записи и согласовать окно обслуживания. Полезно сначала провести пилот на тестовой группе, зафиксировать исходные значения параметров, а затем развернуть изменения в рабочем домене с контролем обратной связи.

Определите модель защиты учётных записей

Начните с простой модели: пароль должен быть длинным, уникальным и известным только владельцу. Для обычных сотрудников разумная отправная точка — не менее 14 символов, а для административных учётных записей — 16–20 символов. Парольные фразы из нескольких несвязанных слов обычно проще запомнить и сложнее перебирать, чем короткие выражения с цифрами в конце.

Сложность в Active Directory стоит оставить включённой там, где этого требуют отраслевые или внутренние правила. Проверка на три категории символов дополняет длину, но создаёт неудобства для длинных фраз и не выявляет популярные пароли. Поэтому базовую политику желательно дополнять проверкой по списку распространённых и ранее скомпрометированных паролей.

Уровень защиты зависит и от способа входа. Для сотрудников, администраторов и внешних пользователей следует предусмотреть многофакторную аутентификацию, ограничить административные сессии и отделить привилегированные рабочие места от пользовательских. Если MFA недоступна для отдельной системы, риск компенсируют контролируемый доступ, запрет внешних подключений и частый мониторинг. Служебные секреты лучше хранить в специализированном хранилище, а автоматические задания переводить на управляемые учётные записи.

Настройте базовую доменную политику

Базовые параметры меняются через редактор групповой политики: откройте Default Domain Policy и перейдите в Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Password Policy. Настройки реплицируются на контроллеры домена. В небольшом домене может быть одна общая политика, но в крупной структуре для разных категорий лучше применять точечные правила и отдельные объекты параметров.

В качестве исходного профиля можно задать минимальную длину 14 символов, включить сложность, сохранить историю из 24 паролей и установить минимальный возраст в одни сутки. Обратимое шифрование следует отключить, поскольку оно позволяет расшифровать сохранённые пароли. Максимальный срок действия выбирайте по рискам и требованиям регуляторов, не ориентируясь на принцип «чаще значит луч».

Если принудительная периодическая смена не нужна и отсутствуют специальные нормативные требования, максимальный срок можно установить в ноль, оставив контроль через многофакторную аутентификацию, менеджер паролей и блокировку скомпрометированных учётных данных. Перед отключением срока проверьте сценарии сертификатов, входов в приложения и процедуры реагирования на взлом. Экстренный сброс должен иметь отдельную контролируемую процедуру, а локальные настройки контроллеров домена не должны противоречить применённой групповой политике.

Разделите правила по категориям пользователей

Точечные политики подходят для сотрудников, подрядчиков и отдельных привилегированных групп. Объект параметров паролей обеспечивает более тонкое управление и имеет приоритет над точечной политикой, поэтому перед его созданием необходимо проверить существующие назначения. На одного пользователя обычно действует только один такой объект, а локальные учётные записи серверов и клиентов доменная политика вообще не охватывает.

Разделяйте обычных пользователей, администраторов и сервисные роли. Для рабочих станций администраторов задайте более строгую минимальную длину, запретите их использование для повседневного входа и подключите MFA. Автоматические пароли gMSA должны обновляться системой, а не вручную; для сторонних приложений, не поддерживающих gMSA, используйте защищённое хранилище с автоматической ротацией и назначенным владельцем каждого секрета.

Резервные записи для восстановления доступа создайте в ограниченном количестве, храните их пароли в офлайн-хранилище и регулярно проверяйте использование. Исключения из блокировки допустимы лишь с усиленным мониторингом и ответственным владельцем. Не оставляйте бессрочные пароли обычных сотрудников: каждое исключение должно содержать срок пересмотра, а для устаревших интеграций предусматривайте переход на управляемые учётные записи.

Проверка результата и закрепление мер

После настройки проверьте результат на тестовом контроллере домена. Команда net accounts показывает общие параметры, Get-ADFineGrainedPasswordPolicy и Get-ADPasswordSettingsObject — точечные настройки, а gpresult /r подтверждает применение объектов групповой политики. Для пользователей можно изучить атрибуты msDS-ResultantPSO и msDS-ResultantPSOEffective, чтобы убедиться, какая политика действительно действует.

Затем создайте тестовые учётные записи разных категорий и проверьте смену пароля через стандартный интерфейс и сброс администратором. Убедитесь, что длина, история, минимальный возраст и сложность применяются ожидаемо, а приложения продолжают работать. В журналах стоит отслеживать события 4723, 4724, 4725, 4740 и 4771, связывая массовые ошибки входа с возможной атакой подбора.

• Требуйте уникальные пароли для каждого пользователя и сервиса, запрещая общие учётные записи и хранение паролей в исходном коде, скриптах или таблицах.
• Включите многофакторную аутентификацию для всех удалённых пользователей, а для привилегированных учётных записей организуйте отдельные рабочие места и защищённые административные сессии.
• Переведите автоматические задания на gMSA или хранилища секретов, назначив владельцев, сроки пересмотра и процедуру отзыва скомпрометированных реквизитов.
• Отслеживайте массовые неудачные попытки входа, внезапные сбросы паролей, изменения групп и создание новых привилегированных учётных записей, связывая события с заявками пользователей.
• Поддерживайте резервные административные записи в офлайн-хранилище, регулярно проверяйте их работоспособность и проводите контролируемую ротацию после использования.
• Пересматривайте настройки после изменений оргструктуры, появления новых приложений и инцидентов, сохраняя историю решений и ответственных лиц.

Эти меры должны быть отражены в регламенте управления доступом. Для каждого исключения зафиксируйте причину, владельца, дату следующей проверки и компенсирующие средства защиты. Автоматизация развёртывания через групповую политику снизит расхождения между тестовой и продуктивной средами.

Практический следующий шаг

Начните с инвентаризации доменных, локальных и сервисных учётных записей, а затем зафиксируйте действующие требования к паролям. Для углублённого анализа учитывайте рекомендации по оценке рисков безопасности и сопоставляйте их с текущей конфигурацией. После этого составьте приоритетный план: сначала усилить привилегированные учётные записи и MFA, затем настроить сроки, историю и защиту от повторного использования паролей.

Проведите изменения в пилотной группе, сохраните исходные и новые значения, проверьте отказоустойчивость и только затем тиражируйте их. Обратитесь в VINCIT для аудита доменной среды, внедрения политик и последующего технического сопровождения, чтобы конфигурация обновлялась поэтапно, приложения сохраняли работоспособность, а ответственность за изменения была закреплена.