[2008 R2] Wachtwoordbeleid: is de complexity aan te passen?

[JanW23]

Wij willen een complexer wachtwoordbeleid in gaan voeren. Echter vinden we de standaard policy "Password must meet complexity requirements" TE complex. We zouden het mooi vinden dat er minimaal 2 verschillende karakters in voorkomen en niet 3.

Dus een wachtwoord met min. één hoofdletter/cijfer/speciale karakter.

Ik heb me suf gegoogled, maar volgens mij kan dit niet in Win 2008 R2 of wel?

[hiekikowan]

Nee, dit is niet aan te passen... de complexity requirements zijn door MS vastgesteld.

[tc982]

bdalenoord schreef op vrijdag 25 november 2011 @ 11:53:
Nee, dit is niet aan te passen... de complexity requirements zijn door MS vastgesteld.

Huh? Sinds wanneer dat? Dat is gewoon een group policy. Dus ik zou niet weten waarom dit niet zou kunnen.

Enkel als je "cloud" diensten afneemt kan dit niet.

Dus TS :

Ja - dat gaat perfect. Maar wat meer info is noodzakelijk :

- Is het een domain?
- Is je domain controller ook een Server 2008 R2?
- Is het een SBS ( Small Business Server )

Op een standaard 2008 R2 Domain Controller :

Open je Group Policy Management console -> Open je forest -> Domains -> je domain name -> Default Domain Policy -> Rechtermuisknop "Edit"

Ga nu naar Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Account Policies/Password Policies en wijzig de policies zoals je wilt.

[Powergrim]

Je kan inderdaad lengte, het verschil dat het volgende password moet hebben met het huidige password en experation aanpassen. Maar daar heb je het ook wel mee gezegd.

[PeterPan]

Je kunt de "complexity requirements" aan of uit zetten maar de complexity requirements zelf kun je niet verder zelf tweaken.

Ik zou zelf bijvoorbeeld een blacklist en iets wat de variatie test willen hebben. Heel veel gebruikers doen gewoon elke keer als ze hun password moeten veranderen iets als:
"Password-1"
"Password-2"
"Password-3" enz

[Gunner]

tc982 schreef op vrijdag 25 november 2011 @ 12:00:
[...]


Huh? Sinds wanneer dat? Dat is gewoon een group policy. Dus ik zou niet weten waarom dit niet zou kunnen.

Enkel als je "cloud" diensten afneemt kan dit niet.

Dus TS :

Ja - dat gaat perfect. Maar wat meer info is noodzakelijk :

- Is het een domain?
- Is je domain controller ook een Server 2008 R2?
- Is het een SBS ( Small Business Server )

Op een standaard 2008 R2 Domain Controller :

Open je Group Policy Management console -> Open je forest -> Domains -> je domain name -> Default Domain Policy -> Rechtermuisknop "Edit"

Ga nu naar Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Account Policies/Password Policies en wijzig de policies zoals je wilt.

De mogelijkheden die je daar hebt, zijn erg beperkt, en het is zeker niet mogelijk om te wijzigen 'zoals je wilt'.

[JanW23]

tc982 schreef op vrijdag 25 november 2011 @ 12:00:
[...]


Huh? Sinds wanneer dat? Dat is gewoon een group policy. Dus ik zou niet weten waarom dit niet zou kunnen.

Enkel als je "cloud" diensten afneemt kan dit niet.

Dus TS :

Ja - dat gaat perfect. Maar wat meer info is noodzakelijk :

- Is het een domain?
- Is je domain controller ook een Server 2008 R2?
- Is het een SBS ( Small Business Server )

Op een standaard 2008 R2 Domain Controller :

Open je Group Policy Management console -> Open je forest -> Domains -> je domain name -> Default Domain Policy -> Rechtermuisknop "Edit"

Ga nu naar Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Account Policies/Password Policies en wijzig de policies zoals je wilt.

Dat ken ik, maar is dus niet wat ik bedoel. De overige mensen begrijpen me goed, maar wel jammer dat dit niet kan.
Kan je ook niet zelf een GP maken dan? En inladen in je GP net zoals de adm/admx files van Office en IE. MS heeft ze tenslotte ook gemaakt Het zijn toch xml's ofzo?

[redfoxert]

JanW23 schreef op vrijdag 25 november 2011 @ 12:17:
[...]


Dat ken ik, maar is dus niet wat ik bedoel. De overige mensen begrijpen me goed, maar wel jammer dat dit niet kan.
Kan je ook niet zelf een GP maken dan? En inladen in je GP net zoals de adm/admx files van Office en IE. MS heeft ze tenslotte ook gemaakt Het zijn toch xml's ofzo?

Standaard kan het niet:

http://social.technet.mic...53-4228-af10-313bb08c9ddd

Daarin worden een aantal zaken beschreven.

[downtime]

Met een gewone GPO zal het niet kunnen. Maar als je Googled op "Password Filters" ga je wel nuttige informatie vinden. Microsoft heeft gedocumenteerd hoe je zelf filters kunt maken maar je kunt ook 3rd party filters kopen.

[alt-92]

GPO's hebben daar in principe niks mee te maken (die geven alleen de standaard opties aan) die complexity rules worden inderdaad bepaald door de Password Filter driver die LSASS aanroept.

http://blogs.technet.com/.../2005/07/19/passfilt.aspx

[ Voor 16% gewijzigd door alt-92 op 26-11-2011 12:35 ]

[JanW23]

Ja, het moet toch wel kunnen in AD. Deze jongens hebben een tool gebouwd waarmee je zelf de complexiteit kunt bepalen.

[alt-92]

En daar gebruiken ze een eigen passfilt.dll voor