วิธีสร้างนโยบายรหัสผ่านใน Azure Active Directory

นโยบายรหัสผ่านของคุณใน Azure AD ทำงานแตกต่างออกไปเล็กน้อยเมื่อเทียบกับสิ่งที่คุณคุ้นเคยใน Active Directory ภายในองค์กร เนื่องจากไม่มีการควบคุมข้อกำหนดด้านความซับซ้อนโดยตรง อย่างไรก็ตาม เช่นเดียวกับ Active Directory นโยบายรหัสผ่านยังคงช่วยให้คุณสามารถกำหนดความยาวของรหัสผ่านและเงื่อนไขการล็อคได้ เช่นเดียวกับการให้คุณสมบัติเพิ่มเติม รวมถึงรายการรหัสผ่านที่ถูกแบนแบบกำหนดเอง

ในบทช่วยสอนนี้ ฉันจะแสดงวิธีแก้ไขและเพิ่มความปลอดภัยของนโยบายรหัสผ่านของคุณใน Azure Active Directory

นโยบายรหัสผ่าน Azure AD เริ่มต้นคืออะไร

นโยบายรหัสผ่านเริ่มต้นที่ใช้กับบัญชีผู้ใช้บนคลาวด์ทั้งหมดไม่สามารถแก้ไขได้ นอกเหนือจากตัวเลือกที่แก้ไขได้ซึ่งฉันจะอธิบายให้คุณทราบในบทช่วยสอนนี้ ด้านล่างนี้ คุณสามารถดูการตั้งค่าเริ่มต้นสำหรับนโยบายรหัสผ่าน Azure AD ในตัว

Characters allowed

A - Z
a - z
0 - 9
@ # $% ^& * - _ ! +=[ ] { } |\: ‘ , . ?/` ~ ” ( ) ; < >
ช่องว่าง

Characters not allowed

อักขระยูนิโค้ด

Password restrictions

ขั้นต่ำ 8 อักขระและสูงสุด 256 อักขระ
ต้องสามในสี่ของรายการต่อไปนี้:
- อักขระตัวพิมพ์เล็ก
- อักขระตัวพิมพ์ใหญ่
- ตัวเลข (0-9)
- สัญลักษณ์ (ดูข้อจำกัดรหัสผ่านก่อนหน้า)

Password expiry duration (Maximum password age)

ค่าเริ่มต้น: 90 วัน หากผู้เช่าถูกสร้างขึ้นหลังปี 2021 จะไม่มีค่าเริ่มต้นการหมดอายุ คุณสามารถตรวจสอบนโยบายปัจจุบันได้ด้วย Get-MsolPasswordPolicy
ค่านี้สามารถกำหนดค่าได้โดยใช้ Set-MsolPasswordPolicy cmdlet จาก Azure Active Directory Module สำหรับ Windows PowerShell

Password expiry (Let passwords never expire)

ค่าเริ่มต้น: เท็จ (ระบุว่ารหัสผ่านมีวันหมดอายุ)
สามารถกำหนดค่าให้กับบัญชีผู้ใช้แต่ละบัญชีได้โดยใช้ cmdlet Set-MsolUser

Password change history

รหัสผ่านล่าสุด ไม่สามารถใช้ ซ้ำได้เมื่อผู้ใช้เปลี่ยนรหัสผ่าน

Password reset history

รหัสผ่านล่าสุด สามารถ สามารถนำมาใช้อีกครั้งเมื่อผู้ใช้รีเซ็ตรหัสผ่านที่ลืม

ตามค่าเริ่มต้น การตั้งค่าที่ใช้ข้างต้นจะไม่เกี่ยวข้องกับบัญชีที่ซิงค์กับ Azure Active Directory ผ่าน Azure AD Connect เนื่องจากนโยบายรหัสผ่านจากไดเรกทอรีภายในองค์กรจะมีความสำคัญกว่า อย่างไรก็ตาม คุณสามารถบังคับใช้นโยบายรหัสผ่าน Azure AD Connect ให้มีผลได้... ลองดูบทช่วยสอนของฉันเพื่อซิงค์นโยบายรหัสผ่าน Azure AD ของคุณกับ AD ในองค์กร

วิธีเปลี่ยนการหมดอายุของรหัสผ่านใน Azure AD

หากต้องการเปลี่ยนการหมดอายุของรหัสผ่านสำหรับผู้ใช้ทั้งหมดใน Azure AD ไปที่ศูนย์การจัดการ Microsoft 365 > การตั้งค่า > การตั้งค่าองค์กร > ความปลอดภัยและความเป็นส่วนตัว > รหัสผ่านหมดอายุ นโยบาย ที่นี่คุณสามารถตั้งรหัสผ่านให้ไม่มีวันหมดอายุหรือกำหนดระยะเวลาหมดอายุได้

เพื่อป้องกันการใช้รหัสผ่านที่เรียบง่ายหรือคาดเดาได้ ขอแนะนำให้ตั้งค่ารหัสผ่านไม่มีวันหมดอายุ และคุณสนับสนุนหรือแนะนำผู้ใช้ของคุณให้ตั้งรหัสผ่านที่ปลอดภัยซึ่งใช้สำหรับ Azure AD เท่านั้น การทำเช่นนี้รวมถึงการใช้การควบคุมความปลอดภัยขั้นพื้นฐาน เช่น การตรวจสอบสิทธิ์แบบหลายปัจจัย มีความปลอดภัยมากกว่าการเปิดใช้งานการหมดอายุของรหัสผ่าน หากคุณต้องการทราบวิธีบังคับใช้การรับรองความถูกต้องแบบหลายปัจจัยทั่วทั้งองค์กรของคุณ โปรดดูบทช่วยสอนของฉันเกี่ยวกับวิธีสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขใน Azure Active Directory

เปิดใช้งานการป้องกันรหัสผ่านใน Azure AD

การป้องกันรหัสผ่านใน Azure AD มอบความปลอดภัยเพิ่มเติมและการควบคุมการตั้งค่ารหัสผ่านและเงื่อนไขการล็อคของผู้ใช้ของคุณ คุณสมบัตินี้กำหนดค่าได้ง่ายและรวดเร็วและสามารถให้การจัดการที่มีประสิทธิภาพเพื่อป้องกันรหัสผ่านที่เดาง่าย

หากต้องการเข้าถึงคุณลักษณะการป้องกันรหัสผ่านใน Azure AD ให้เลือก Azure Active Directory > ความปลอดภัย

ใต้หัวข้อ จัดการ ให้เลือก วิธีการตรวจสอบสิทธิ์

จากนั้นเลือกการป้องกันด้วยรหัสผ่าน

ในหน้าการป้องกันรหัสผ่าน คุณมีตัวเลือกในการกำหนดค่า เกณฑ์การล็อก ซึ่งจะกำหนดจำนวนการพยายามเข้าสู่ระบบที่ล้มเหลวซึ่งล้มเหลวจนกว่าบัญชีจะเปลี่ยนเป็นสถานะล็อค ระยะเวลาการล็อค จะกำหนดระยะเวลาที่บัญชีของคุณจะคงอยู่ในสถานะล็อค และคุณมีตัวเลือกในการใช้ รายการรหัสผ่านที่ถูกแบนแบบกำหนดเอง เพื่อป้องกันไม่ให้รหัสผ่านคาดเดาได้ง่าย

แม้ว่าฉันจะไม่ครอบคลุมการป้องกันด้วยรหัสผ่านสำหรับ WIndows Server Active Directory ในบทช่วยสอนนี้ เพื่อเปิดใช้งานสิ่งนี้ คุณจะต้องมีเอเจนต์ Azure AD Password Protection DC หรือ Azure AD Password Protection Proxy ติดตั้งบนตัวควบคุมโดเมน

จะเกิดอะไรขึ้นเมื่อคุณใช้รายการรหัสผ่านที่ถูกแบน?

รายการรหัสผ่านที่ถูกแบนแบบกำหนดเองเป็นวิธีง่ายๆ ในการบล็อกผู้ใช้จากการตั้งรหัสผ่านที่เรียบง่ายและเดาง่าย เช่น ชื่อของพวกเขา ชื่อบริษัท หรือรูปแบบที่คล้ายกันของทั้งสองอย่าง รายการรหัสผ่านที่ถูกแบนแบบกำหนดเองอนุญาตให้มีได้สูงสุด 1,000 รายการเท่านั้น ดังนั้นการใช้สิ่งนี้อย่างมีประสิทธิภาพจึงเป็นสิ่งสำคัญ

เมื่อคุณบังคับใช้การป้องกันด้วยรหัสผ่าน รวมถึงรายการรหัสผ่านที่ถูกแบน หากผู้ใช้มีรหัสผ่านที่อยู่ในรายการอยู่แล้ว จะไม่มีผลกระทบต่อผู้ใช้รายนั้น พวกเขาสามารถทำงานต่อไปได้โดยไม่หยุดชะงัก อย่างไรก็ตาม หากผู้ใช้ไปเปลี่ยนรหัสผ่านเป็นรหัสผ่านที่ระบุไว้ในรายการรหัสผ่านที่ถูกแบน พวกเขาจะได้รับข้อผิดพลาดดังต่อไปนี้

สร้างรายการรหัสผ่านที่ถูกแบนแบบกำหนดเองที่มีประสิทธิภาพ

เนื่องจากรหัสผ่านมีจำกัดในรายการรหัสผ่านที่ถูกแบนแบบกำหนดเอง สิ่งสำคัญคือคุณต้องกำหนดรายการของคุณอย่างมีประสิทธิภาพ แทนที่จะคัดลอกและวางของผู้อื่นจากอินเทอร์เน็ต รหัสผ่านภายในรายการของคุณควรเกี่ยวข้องกับพนักงานหรือองค์กรของคุณในทางใดทางหนึ่ง ตัวอย่างบางส่วนได้แก่:

• ชื่อ บริษัท
• ที่ตั้งของบริษัทหรือพนักงาน
• ชื่ออาคารหรือสำนักงาน
• ข้อกำหนดเฉพาะ สโลแกน หรือบทสนทนาที่บริษัทใช้
• ชื่อผลิตภัณฑ์หรือบริการที่บริษัทจัดหาให้

การทำให้เป็นมาตรฐาน

เมื่อรหัสผ่านในรายการได้รับการประเมิน กระบวนการทำให้เป็นมาตรฐานจะเกิดขึ้นเพื่อตรวจสอบว่าพบรหัสผ่านที่ป้อนในรายการหรือไม่ ซึ่งหมายความว่ารหัสผ่านที่หลากหลายภายในรายการจะถูกตรวจจับและบล็อกโดยอัตโนมัติเช่นกัน

ตัวอย่างเช่น หากคุณมีวลี ourcloudnetwork ในรายการรหัสผ่านที่ถูกแบนและมีคนใช้รหัสผ่าน 0urC10udN3w0rk วลีนั้นจะถูกบล็อกโดยอัตโนมัติ สิ่งนี้จะขยายความครอบคลุมอย่างมากจากรายการรหัสผ่านที่ถูกแบนใน Azure AD

การแทนที่อักขระสามารถพบได้ในตารางด้านล่าง

0

โอ

1

ล

$

ส

@

ก

การจับคู่คลุมเครือ

กระบวนการที่เรียกว่าการจับคู่แบบคลุมเครือยังใช้เพื่อระบุว่ารหัสผ่านควรได้รับอนุญาตหรือถูกแบน โดยการประเมินว่าพบรหัสผ่านปกติในรายการรหัสผ่านที่ถูกแบนหรือไม่ โดยพิจารณาจากความแปรปรวนของอักขระ 1

ตัวอย่างเช่น หากวลี ourcloudnetwork แสดงอยู่ในรายการรหัสผ่านที่ถูกแบน รหัสผ่านแต่ละรายการต่อไปนี้ก็จะถูกแบนเช่นกัน:

• 0urC10udN3w0rp - ตัวอักษรสุดท้าย 'k' ถูกแทนที่ด้วย 'p'
• 0urC10udN3w0rk6 - '6' ถูกต่อท้ายแล้ว
• TurC10udN3w0rk - อักขระตัวแรก '0' ถูกแทนที่ด้วย 'T'
• 0urC10udN3w0r - ลบตัวอักษรตัวสุดท้าย 'k' ออกแล้ว
• L0urC10udN3w0rk - 'L' ถูกต่อท้ายที่จุดเริ่มต้น

การจับคู่สตริงย่อย

การจับคู่สตริงย่อยจะใช้กับรหัสผ่านที่ทำให้เป็นมาตรฐานเพื่อตรวจสอบว่าพบชื่อ นามสกุล หรือชื่อผู้เช่าของผู้ใช้ในรหัสผ่าน หรือไม่ โดยไม่คำนึงว่าจะพบข้อมูลนั้นในรายการรหัสผ่านที่ถูกแบนแบบกำหนดเองหรือไม่

ตัวอย่างเช่น ฉันชื่อ Daniel Bradley ใน Azure Active Directory หากฉันพยายามรีเซ็ตรหัสผ่านเป็น D@ni31network5 เมื่อทำให้เป็นมาตรฐานแล้ว จะกลายเป็น Danielnetwork5 และรหัสผ่านจะ จะถูกปิดกั้นไม่ให้ถูกใช้งาน

บทสรุป

การแก้ไขการตั้งค่ารหัสผ่านและการใช้การป้องกันด้วยรหัสผ่านมักถูกมองข้ามเมื่อย้ายไปยังระบบคลาวด์เท่านั้นหรือเมื่อคุณ "ผ่าน" โดยปล่อยให้ค่าเริ่มต้นยังคงอยู่ หากคุณมี Azure AD Premium P1 หรือ P2 ฉันขอแนะนำให้คุณดูการตั้งค่าการป้องกันรหัสผ่านใน Azure AD และเพิ่มความปลอดภัยของรหัสผ่านทันที สิ่งเหล่านี้เป็นการเปลี่ยนแปลงที่มีผลกระทบสูงโดยไม่มีการหยุดชะงักในการผลิต