RTFM.WIKI

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
====== Парольные политики Windows ======

Windows Server 2016 Std Edition. Сервер без AD/домена. Парольные политики настраиваются штатными средствами ОС через групповые политики.

===== Политика паролей =====

<key>Windows+R</key> → gpedit.msc <key>Enter</key>
  * Local Computer Policy (Политика "Локальный компьютер"
    * Computer Configuration (Конфигурация компьютера)
      * Windows Settings (Конфигурация Windows)
        * Security Settings (Параметры безопасности)
          * Account Policies (Политики учетных записей)
            * **Password Policy (Политика паролей)**

{{:microsoft:server:windows_gpedit_password_policy.png?nolink&800|}}

^ Политика ^ Краткое пояснение ^ Возможные значения ^ Значение по-умолчанию ^
| Enforce password history \\ Вести журнал паролей | Параметр определяет число новых уникальных паролей, которые должны быть назначены учетной записи пользователя до повторного использования старого пароля | 0-24 | AD: 24 пароля \\ Stand-alone: 0 |
| Maximum password age \\ Максимальный срок действия пароля | Параметр определяет период времени (в днях), в течение которого можно использовать пароль, пока система не потребует от пользователя сменить его. | 1-999 | 42 |
| Minimum password age \\ Минимальный срок действия пароля | Параметр определяет период времени (в днях), в течение которого необходимо использовать пароль, прежде чем пользователь сможет его изменить. | 0-998 | 1 день |
| Minimum password length \\ Минимальная длина пароля | Параметр определяет минимальное количество знаков, которое должно содержаться в пароле | 0 - без пароля, 1-14 | AD:7 \\ Stand-alone: 0 |
| Password must meet complexity requirements \\ Пароль должен отвечать требованиям сложности | Параметр определяет должен ли пароль отвечать требованиям: <WRAP>
  * Иметь длину не менее 6 знаков
  * содержать латинские заглавные буквы (от A до Z)
  * содержать латинские строчные буквы (от a до z)
  * содержать цифры (от 0 до 9)
  * отличающиеся от букв и цифр знаки (например, !, $, #, %)
</WRAP> | Включена / Отключена | Включено |
| Store passwords using reversible encryption \\ Хранить пароли, используя обратимое шифрование | Параметр определяет, используется ли операционной системой для хранения паролей обратимое шифрование. | Включена/ Отключена | Отключено |

===== Политика блокировки учетных записей (Account Lockout Policy) =====

{{:microsoft:server:windows_gpedit_account_lockout_policy.png?nolink&800|}}

  * Computer Configuration (Конфигурация компьютера)
    * Windows Settings (Конфигурация Windows)
      * Security Settings (Параметры безопасности)
        * Account Policies (Политики учетных записей)
          * **Account Lockout Policy (Политика блокировки учётных записей)**

^ Политика ^ Краткое пояснение ^ Возможные значения ^ Значение по-умолчанию ^
| Account lockout duration \\ Время до сброса счетчика блокировки. | Параметр определяет количество минут, которые должны пройти после неудачной попытки входа в систему до того, как счетчик неудачных попыток входа будет сброшен до 0 | 0-99999 | Не определено |
| Account lockout threshold \\ Пороговое значение блокировки. | Параметр определяет количество неудачных попыток входа в систему, приводящее к блокировке учетной записи пользователя. | 0-999 | 0 |
| Reset account lockout counter after \\ Продолжительность блокировки учетной записи. | Параметр определяет количество минут, в течение которых учетная запись остается заблокированной до ее автоматической разблокировки. | 0-99999 | Не определено |

Для немедленного применения изменений необходимо выполнить в cmd

<code>gpupdate /force</code>

===== Просмотр политик через cmd/powershell =====

Текущие парольные политики

{{:microsoft:server:windows_password_policy_net_accounts.png?nolink|}}

Информация о пользователе

{{:microsoft:server:windows_password_policy_net_user.png?nolink|}}

===== Catch-22 / Уловка-22 =====

Проблема: невозможно установить через RDP новый пароль если у пользователя установлено **User must change password at next logon**.

{{:microsoft:server:rdp_catch_22_warn.png?nolink|}}

  * [[https://en.wikipedia.org/wiki/Catch-22_(logic)|https://en.wikipedia.org/wiki/Catch-22_(logic)]]
  * [[https://ru.wikipedia.org/wiki/Уловка-22_(выражение)|https://ru.wikipedia.org/wiki/Уловка-22_(выражение)]]

<blockquote>Уловка-22 (англ. Catch-22) — ситуация, возникающая в результате логического парадокса между взаимоисключающими правилами и процедурами.</blockquote>

Нам необходимо войти в систему, чтобы изменить пароль, но мы не можем войти в систему пока не поменяем пароль.

Вот как это [[http://support.microsoft.com/kb/2648402|объясняет Microsoft]].

<blockquote>In the protocol specification for CredSSP, there is no reference to the ability to change the user's password while NLA is running. Therefore, the observed behavior can be considered "by design."</blockquote>

Лучшее [[https://markgamache.blogspot.com/2017/03/the-tyranny-of-network-level.html|разъяснение]] по данному вопросу.

После долгих поисков в сети
  * https://sysadmins.ru/topic431862.html
  * https://mssec.wordpress.com/2015/12/26/forced-password-change-at-next-logon-and-rdp/
  * https://blog.it-kb.ru/2017/12/24/ways-to-change-or-reset-user-account-password-in-the-rdp-session/

я понял, что единственное простое решение это отключить NLA на стороне сервера

{{:microsoft:server:rdp_catch_22_disable_nla.png?nolink|}}

а на стороне клиента отключить CredSSP (отредактировать локальный .RDP файл)

<code>enablecredsspsupport:i:0</code>

Безопасно ли это? Наш Approved Scanning Vendor считает, что риск перехвата сессии или риск удаленного выполнения вредоносного кода минимален ЕСЛИ передача аутентификационных данных осуществляется по защищенному каналу связи (например OpenVPN).

Существует еще один вариант решения проблемы - установить **RD Web Access**. Но это установка IIS и дополнительный пункт в правильной настройки безопасности сервера. Для сервера без Active Directory это избыточно.
  * [[https://superuser.com/questions/1196477/allow-users-to-change-expired-password-via-remote-desktop-connection/1196501#1196501|Install the RD Web Access role and enable the remote password change option]]
  * [[https://social.technet.microsoft.com/wiki/contents/articles/10755.windows-server-2012-rds-enabling-the-rd-webaccess-expired-password-reset-option.aspx|Windows Server 2012 RDS: Enabling the RD WebAccess Expired password reset option]]

EOM

{{tag>microsoft windows windows_server rdp credssp безопасность}}