员工使用的密码可以决定或破坏组织中的数据安全性，但是，知道员工通常不遵循良好的密码卫生习惯也就不足为奇了。从在本机工具（如 Windows Active Directory 组策略）中设置弱密码和通用密码到宽松的密码策略规则，有几个因素对密码安全构成严重威胁，并使组织的数据面临暴露风险。

即使暴露一个员工密码，也会危及组织数据的安全性，数据泄露不仅会损失组织的收入和声誉，还可能导致法律后果。由于密码是我们抵御网络攻击的第一道防线，因此必须谨慎选择密码。确保员工为其企业帐户创建强密码是实现数据安全的第一步。强密码很难被破坏，有助于防止被劫持的帐户和数据泄露。

密码强度的因素

使用以下因素作为指导，以确保员工创建强密码：

• 复杂性，创建一个使用所有字符类型（大写和小写字母、数字和符号）的密码。
• 足够的长度，保持强大的密码长度，Microsoft 建议密码长度最小为 8 个字符。
• 唯一性，应避免设置密码和管理员等常用词。
• 避免使用 12345 和 qwerty 等常见模式。
• 避免使用与组织相关的词语（如公司名称）或编号序列（如员工 ID）作为密码。
• 最大限度减少重复，避免为同一帐户多次重复使用密码或使用与用户名相似的密码。
• 使用密码短语，密码短语是密码的一个很好的替代品，它们更长，更容易记住。

通过密码策略强制实施安全密码

虽然遵守上述准则可以帮助创建能够抵御黑客攻击的强密码，但确保您组织的员工遵守这些密码可能是一项艰巨的任务。强制实施密码策略可帮助管理员实现此目的，并有助于满足法规遵从性要求。密码策略是在密码更改和密码重置期间强制执行的规则，只有在遵守所有准则时才允许创建密码。

Active Directory 密码策略

Active Directory 提供域密码策略，可帮助管理员强制要求域密码的复杂性、长度和期限等参数。密码策略是通过根据组织的安全状况配置策略设置来创建的。这些设置包括：

• 密码历史记录：设置在重复使用旧密码之前必须使用的新密码数。
• 密码最长使用期限：指定在强制更改之前可以使用密码的最长时间。
• 密码最短使用期限：设置密码在更改之前必须使用的最短时间。
• 最小密码长度：规定密码必须包含的最小字符数。
• 密码必须满足复杂性要求，须遵守以下规则满足此设置：
• 不应包含用户的帐户名称或用户全名中超过两个连续字符的部分。
• 长度至少为 6 个字符。
• 包含四种字符类型中的三种（大写和小写字母、数字和符号）中的字符。

细化密码策略

Active Directory 还提供细粒度密码策略 （FGPP）。顾名思义，这些策略可以针对特定用户集进行粒度级别的配置。FGPP 由与域密码策略相同的五个设置组成。以下是两者之间的一些区别：

域密码策略

• 单个域中的所有用户只能有一个域密码策略。
• 域密码策略是在组策略对象中创建的。
• 需要为不同的域创建单独的域密码策略。

细粒度密码策略

• 可以将多个 FGPPS 应用于单个域中的用户组。
• FGPPS 是使用密码设置容器创建的。
• 一个FGPP可以有多个组。

Active Directory 密码策略的困难

尽管域密码策略和 FGPP 有助于确保域用户坚持强大的密码创建和定期密码更新，但它们也带来了一系列挑战。

• 它们不能应用于特定的 OU。
• 字典单词、模式和回文不能受到限制。
• 无法防止同一字符的连续重复。
• 无法自定义“密码必须满足复杂性要求”策略设置，以指定必须用于特定字符类型的字符数。
• 在 ADUC 中的管理员重置密码期间，无法强制执行密码策略。

Active Directory 密码策略解决方案

ADSelfService Plus 是一个集成的自助密码管理和单点登录解决方案，它提供密码策略执行器功能，允许管理员为 Active Directory 和云应用程序密码创建和强制执行自定义密码策略。

可以通过从提供的列表中配置所需的策略规则来创建密码策略。提供这些规则是为了确保员工创建的密码是安全的，具体取决于四个因素：

• 字符
• 模式
• 重复
• 长度

字符

• 指定必须包含的大写和小写字母、数字和符号的数量。
• 指定密码必须以字符类型开头。
• 强制要求包含 Unicode 字符。

模式

• 限制使用回文。
• 防止使用可自定义列表中的字典单词和模式。

重复

• 限制字符重复。
• 防止使用用户名和旧密码中的连续字符。

长度

• 指定允许的最小和最大密码长度。

使用ADSelfService Plus的密码策略实施器的好处

• 帮助用户选择强密码：在重置和更改密码页面上显示密码策略要求，以便提示用户设置强密码。通过启用密码强度分析器，允许用户在密码更改或重置屏幕上实时查看密码强度。
• 密码报告：获取开箱即用的报告，使 IT 管理员能够全面了解用户的密码过期和帐户锁定状态、注册数据以及所有连接域中的自助服务操作。
• 鼓励使用密码短语：使用户能够通过覆盖密码策略规则来创建长而安全的密码短语（如果密码超出特定长度）。
• 普遍实施策略：从 Ctrl+Alt+Del 屏幕和 ADUC 密码重置期间强制实施密码更改策略。
• 实施精细的密码策略：为 OU 和组设置密码策略，与域设置的密码策略分开，以匹配特定用户需要访问的敏感资源级别。
• 满足法规遵从性标准：创建符合 NIST、HIPAA、GDPR、CJIS 和其他法规的密码策略。

虽然创建强密码有助于数据安全，但通过多因素身份验证包括额外的身份验证方法可以进一步增强系统和网络安全。ADSelfService Plus 通过多因素身份验证帮助保护对端点和企业应用程序的本地和远程访问。

ADSelfService Plus 是一种身份安全解决方案，可以保护多种 IT 资源，包括身份、计算机和 VPN，减轻 IT 帮助台的负担，为用户提供自助服务功能。