|
相對于以前的活動目錄只提供一種密碼和賬號鎖定策略的狀態(tài)，Windows Server 2008提供更為靈活的Fine Gained Password(?；艽a策略)。它能夠讓我們在一個域中指定多個密碼策略，能夠使用Fine-grained 密碼策略來將不同的密碼和賬號鎖定策略應(yīng)用到域中不同集合的用戶。
要存儲Fine-grained 密碼策略，Windows Server 2008 在活動目錄目錄服務(wù)架構(gòu)中包含了兩個新的對象：
1、Password Settings Container（密碼設(shè)置容器）
2、Password Settings（密碼設(shè)置）
Password Settings Container （PSC）在缺省情況下被創(chuàng)建在域的System 容器中?？梢酝ㄟ^活動目錄用戶和計算機管理工具，選種高級特性選項來查看它。它存儲域的Password Settings objects (PSOs) 。
我們不能重命名、移動或刪除該容器。盡管您可以創(chuàng)建額外的自定義的PSCs ，它們不會被考慮當(dāng)策略的結(jié)果集在計算對象的時候。因此，這也不是推薦的做法。
PSO 的屬性的設(shè)置能夠在Default Domain Policy（除Kerberos設(shè)置外）中設(shè)置。這些設(shè)置包括下面這些密碼設(shè)置屬性：
1、 Enforce password history（強制密碼歷史）
2、 Maximum password age（密碼最長使用期限）
3、 Minimum password age（密碼最短使用期限）
4、 Minimum password length（密碼最短長度）
5、 Passwords must meet complexity requirements（密碼必須符合復(fù)雜性）
6、 Store passwords using reversible encryption（用可還原的加密來儲存密碼）
這些設(shè)置也包含下面這些賬號鎖定設(shè)置屬性：
1、 Account lockout duration（密碼鎖定時間）
2、 Account lockout threshold（密碼鎖定閥值）
3、 Reset account lockout after（復(fù)位賬號鎖定計算器）
此外，PSO還有下面兩個新的屬性：
2、Precedence（優(yōu)先）。 這是一整數(shù)值，用來解決沖突，如果多個PSO 被應(yīng)用到一個用戶或組對象上。
這九個屬性是mustHave 屬性。意思是您必須為每個屬性定義一個值。來自多個PSO 的設(shè)置不能被合并。
定義fine-grained 密碼策略的范圍
PSO 能夠被鏈接到和PSO位于同一個域的用戶（或inetOrgPerson）或組對象。
部署要求：
實驗環(huán)境：
在Win2008R2CNDC這臺DC上操作完成
實驗要求：
檢查提升域功能級別
建立測試用的全局安全組和用戶
使用ADSIedit.msc創(chuàng)建PSO
使用第三方工具Fine Grain Password Policy Tool Beta 2創(chuàng)建PSO
驗證用戶的PSO應(yīng)用
實驗步驟：
一、檢查提升域功能級別
 二、建立測試用的全局安全組TestGroup和用戶TestUser，并將TestUser加入到TestGroup
 三、使用ADSIedit.msc創(chuàng)建PSO
運行ADSIedit.msc, 如下圖進行操作
         四、使用第三方工具Fine Grain Password Policy Tool Beta 2創(chuàng)建PSO
相對于使用Adsiedit.msc建立PSO的方法，F(xiàn)ine Grain Password Policy Tool Beta 2提供了更為直觀方便快捷的圖形用戶操作界面，同時它能很直觀查看對象策略結(jié)果。
1、安裝
Fine Grain Password Policy Tool Beta 2分為X64和X86兩個版本，安裝過程略
2、設(shè)置
運行MMC，添加Fine Grain Password Policy Tool管理單元
五、驗證用戶的PSO應(yīng)用
可以通過活動目錄用戶和計算機，右擊TESTUSER，選擇更改密碼，觀察是否生效。 |
|
|
來自： wtkc > 《操作系統(tǒng)》
