Jelszóházirend létrehozása az Azure Active Directoryban

A jelszóházirend az Azure AD-ben kissé eltér a helyszíni Active Directoryban megszokotthoz képest, mivel nincs közvetlen szabályozás a bonyolultsági követelmények felett. Az Active Directoryhoz hasonlóan azonban a jelszóházirend továbbra is lehetővé teszi a jelszó hosszának és a zárolási feltételek meghatározását, valamint további szolgáltatások biztosítását, beleértve az egyéni tiltott jelszavak listáját.

Ebben az oktatóanyagban bemutatom, hogyan módosíthatja és növelheti a jelszóházirend biztonságát az Azure Active Directoryban.

Mi az alapértelmezett Azure AD jelszóházirend?

Az összes felhőalapú felhasználói fiókra alkalmazott alapértelmezett jelszószabályzat az oktatóanyagban bemutatott szerkeszthető beállításokon kívül nem módosítható. Alább láthatja a beépített Azure AD jelszóházirend alapértelmezett beállításait.

Characters allowed: A - Z
a - z
0 - 9
@ # $% ^& * - _ ! +=[ ] { } |\: ‘ , . ?/` ~ ” ( );
Üres terület
Characters not allowed: Unicode karakterek
Password restrictions: Legalább 8 karakter és legfeljebb 256 karakter.
A következőkből négyből hármat igényel:
- Kisbetűk
- Nagybetűk
- Számok (0-9)
- Szimbólumok (lásd a korábbi jelszókorlátozásokat)
Password expiry duration (Maximum password age): Alapértelmezett érték: 90 nap. Ha a bérlőt 2021 után hozták létre, akkor nincs alapértelmezett lejárati értéke. Az aktuális házirendet a Get-MsolPasswordPolicy segítségével ellenőrizheti.
Az érték a Set-MsolPasswordPolicy parancsmag használatával konfigurálható a Windows PowerShellhez készült Azure Active Directory Module-ból.
Password expiry (Let passwords never expire): Alapértelmezett érték: false (azt jelzi, hogy a jelszavaknak lejárati dátuma van).
Az értéket egyéni felhasználói fiókokhoz lehet beállítani a Set-MsolUser parancsmag használatával.
Password change history: Az utolsó jelszó nem használható újra, amikor a felhasználó megváltoztatja a jelszót.
Password reset history: Az utolsó jelszó újra használható, ha a felhasználó visszaállítja az elfelejtett jelszót.

Alapértelmezés szerint a fent alkalmazott beállítások nem relevánsak az Azure Active Directoryhoz az Azure AD Connecten keresztül szinkronizált fiókok esetében, mivel a helyszíni címtárból származó jelszóházirend élvez elsőbbséget. Az Azure AD Connect jelszóházirend érvénybe léptetéséhez azonban kényszerítheti… Tekintse meg az oktatóanyagomat az Azure AD jelszóházirend helyszíni AD-vel való szinkronizálásához.

A jelszó lejáratának módosítása az Azure AD-ben

Az Azure AD összes felhasználó jelszava lejártának módosítása. Lépjen a Microsoft 365 felügyeleti központba > Beállítások > Szervezeti beállítások > Biztonság és adatvédelem > Jelszó lejárata politikat. Itt beállíthatja, hogy a jelszavak soha ne járjanak le, vagy meghatározhat egy lejárati időszakot.

Az egyszerű vagy kiszámítható jelszavak használatának megakadályozása érdekében javasoljuk, hogy a jelszavakat úgy állítsa be, hogy azok soha ne járjanak le, és ösztönözze vagy irányítsa a felhasználókat egy olyan biztonságos jelszó beállítására, amelyet csak az Azure AD-hez használ. Ennek elvégzése, valamint az alapvető biztonsági vezérlők, például a többtényezős hitelesítés végrehajtása sokkal biztonságosabb, mint a jelszó lejáratának engedélyezése. Ha szeretné tudni, hogyan kényszerítheti ki a többtényezős hitelesítést a szervezetében, tekintse meg a Feltételes hozzáférési házirend létrehozása az Azure Active Directoryban című oktatóanyagomat.

Engedélyezze a jelszavas védelmet az Azure AD-ben

Az Azure AD jelszavas védelme további biztonságot és vezérlést biztosít a felhasználói jelszóbeállítások és a zárolási feltételek felett. A funkciók gyorsan és egyszerűen konfigurálhatók, és hatékony kezelést biztosítanak a könnyen kitalálható jelszavak elkerülése érdekében.

Az Azure AD jelszavas védelmi funkcióinak eléréséhez válassza az Azure Active Directory > Biztonság lehetőséget.

A Kezelés fejléc alatt válassza a Hitelesítési módszerek lehetőséget.

Ezután válassza a Jelszóvédelem lehetőséget.

A Jelszóvédelem oldalon beállíthatja a Kizárási küszöböt, amely meghatározza, hogy hány sikertelen bejelentkezési kísérlet legyen sikertelen mindaddig, amíg a fiók zárolt állapotba nem változik. A Zárolás időtartama határozza meg, hogy fiókja mennyi ideig marad zárolt állapotban, és lehetősége van egy Egyéni tiltott jelszavak lista bevezetésére a könnyen kitalálható jelszavak elkerülése érdekében.

Bár ebben az oktatóanyagban nem térek ki a WIndows Server Active Directory jelszavas védelmére, ennek engedélyezéséhez szüksége lesz a tartományvezérlőre telepített Azure AD Password Protection DC ügynökre vagy Azure AD Password Protection Proxyra.

Mi történik, ha tiltott jelszavak listáját alkalmazza?

Az egyéni tiltott jelszavak listája egyszerű módja annak, hogy hatékonyan blokkolja a felhasználókat abban, hogy egyszerű és könnyen kitalálható jelszavakat állítsanak be, például a nevüket, a cégnevüket vagy mindkettő hasonló változatait. Az Egyéni tiltott jelszavak listája legfeljebb 1000 listaelemet engedélyez, ezért fontos ennek hatékony használata.

Ha kényszeríti a jelszavas védelmet, beleértve a tiltott jelszavak listáját, és ha egy felhasználónak már van listán szereplő jelszava, az nem lesz hatással arra a felhasználóra, megszakítás nélkül folytathatja a munkát. Ha azonban a felhasználó ezután módosítja jelszavát a tiltott jelszavak listáján szereplő jelszavakra, a következő hibaüzenet jelenik meg.

Hozzon létre egy hatékony egyéni tiltott jelszavak listát

Az Egyéni tiltott jelszavak listán belüli jelszavak korlátja miatt fontos, hogy hatékonyan határozza meg a listát, ahelyett, hogy valaki másét az internetről másolná be. A listán szereplő jelszavaknak valamilyen módon kapcsolódniuk kell az Ön alkalmazottaihoz vagy szervezetéhez, néhány példa:

Cégnév
Vállalati vagy alkalmazotti helyek
Épület vagy iroda neve
A vállalat által használt konkrét kifejezések, szlogenek vagy párbeszédek
A vállalat által kínált termékek vagy szolgáltatások nevei

Normalizálás

A listában szereplő jelszavak kiértékelésekor egy normalizálási folyamat történik annak észlelésére, hogy a beírt jelszó megtalálható-e a listában. Ez azt jelenti, hogy a listán szereplő jelszavak változatait is automatikusan észleli és blokkolja.

Például, ha a tiltott jelszavak listájában szerepel a ourcloudnetwork kifejezés, és valaki a 0urC10udN3w0rk jelszót használta, akkor a rendszer automatikusan blokkolja. Ez nagymértékben kibővíti az Azure AD-ben található tiltott jelszavak listája által biztosított lefedettséget.

A karaktercseréket az alábbi táblázatban találja.

0: o
1: l
$: s
@: a

Fuzzy matching

A Fuzzy matching nevű folyamatot arra is használják, hogy azonosítsák, engedélyezni vagy tiltani kell-e a jelszót. Ezt úgy teszi meg, hogy kiértékeli, hogy a normalizált jelszó megtalálható-e a tiltott jelszavak listáján 1-es karaktervariancia alapján.

Például, ha a ourcloudnetwork kifejezés szerepel a tiltott jelszavak listáján, akkor a következő jelszavak mindegyike is kitiltásra kerül:

0urC10udN3w0rp - az utolsó „k” betűt „p” váltotta fel
0urC10udN3w0rk6 - „6” hozzá lett fűzve a végéhez.
TurC10udN3w0rk - az első „0” karaktert „T”-re cseréltük
0urC10udN3w0r - az utolsó „k” betű eltávolítva
L0urC10udN3w0rk - „L” hozzá lett fűzve az elejéhez

Alkarakterlánc-illesztés

A részkarakterlánc-egyeztetést a normalizált jelszóban használják annak észlelésére, hogy a felhasználó keresztneve, vezetékneve vagy a bérlő neve megtalálható-e a jelszóban, függetlenül attól, hogy ez az információ megtalálható-e az Egyéni tiltott jelszavak listájában.

Például a nevem Daniel Bradley az Azure Active Directoryban. Ha megpróbálom visszaállítani a jelszavamat a D@ni31network5 értékre, a normalizálás után Danielnetwork5 lesz, és a jelszó blokkolja a használatát.

Következtetés

A jelszóbeállítások módosítását és a jelszavas védelem bevezetését gyakran figyelmen kívül hagyják, amikor csak felhőre költözik, vagy amikor „kibékült” az alapértelmezett beállításokat hagyva a helyén. Ha rendelkezik Azure AD Premium P1-vel vagy P2-vel, erősen ajánlom, hogy tekintse át a jelszavas védelem beállításait az Azure AD-ben, és növelje jelszavas biztonságát most. Ezek nagy hatású változások a termelés megszakítása nélkül.