Гранулярные политики паролей в Active Directory (FGPP)

Для работы FGPP необходимы следующие условия:

• Функциональный уровень домена (DFL) — Windows Server 2008 или выше
• PSO назначаются на группы безопасности или напрямую на пользователей (не на OU!)
• Настройка требует прав Domain Admins или делегированных прав на контейнер CN=Password Settings Container,CN=System,DC=domain,DC=com

Проверьте текущий функциональный уровень домена:

# PowerShell
(Get-ADDomain).DomainMode
# Ожидаемый результат: Windows2016Domain или выше

Создадим строгую политику для группы Domain Admins:

# Создание PSO для администраторов
New-ADFineGrainedPasswordPolicy -Name "PSO-Admins" `
    -DisplayName "Строгая политика для администраторов" `
    -Precedence 10 `
    -MinPasswordLength 14 `
    -PasswordHistoryCount 24 `
    -ComplexityEnabled $true `
    -ReversibleEncryptionEnabled $false `
    -MaxPasswordAge "30.00:00:00" `
    -MinPasswordAge "1.00:00:00" `
    -LockoutThreshold 3 `
    -LockoutDuration "00:30:00" `
    -LockoutObservationWindow "00:30:00" `
    -ProtectedFromAccidentalDeletion $true

# Назначение PSO на группу
Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins" -Subjects "Domain Admins"
Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins" -Subjects "Enterprise Admins"

Параметр -PasswordHistoryCount 24 запрещает повторное использование последних 24 паролей. -MinPasswordAge "1.00:00:00" предотвращает циклическую смену паролей для обхода истории.

Умеренная политика для стандартных сотрудников:

# Создание PSO для обычных пользователей
New-ADFineGrainedPasswordPolicy -Name "PSO-Users" `
    -DisplayName "Стандартная политика для пользователей" `
    -Precedence 20 `
    -MinPasswordLength 10 `
    -PasswordHistoryCount 12 `
    -ComplexityEnabled $true `
    -ReversibleEncryptionEnabled $false `
    -MaxPasswordAge "90.00:00:00" `
    -MinPasswordAge "1.00:00:00" `
    -LockoutThreshold 5 `
    -LockoutDuration "00:15:00" `
    -LockoutObservationWindow "00:15:00" `
    -ProtectedFromAccidentalDeletion $true

# Назначение на группу Domain Users
Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-Users" -Subjects "Domain Users"

Для сервисных аккаунтов — длинный пароль без обязательной смены:

# Создание группы для сервисных учёток
New-ADGroup -Name "SVC-Accounts" -GroupScope Global -GroupCategory Security `
    -Path "OU=Groups,DC=example,DC=com"

# Создание PSO
New-ADFineGrainedPasswordPolicy -Name "PSO-ServiceAccounts" `
    -DisplayName "Политика для сервисных учёток" `
    -Precedence 15 `
    -MinPasswordLength 20 `
    -PasswordHistoryCount 24 `
    -ComplexityEnabled $true `
    -MaxPasswordAge "0.00:00:00" `
    -MinPasswordAge "0.00:00:00" `
    -LockoutThreshold 10 `
    -LockoutDuration "01:00:00" `
    -LockoutObservationWindow "01:00:00" `
    -ProtectedFromAccidentalDeletion $true

# Назначение
Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-ServiceAccounts" -Subjects "SVC-Accounts"

Значение MaxPasswordAge "0.00:00:00" означает «пароль не истекает». Для сервисных учёток это допустимо при условии использования длинных паролей (20+ символов) и мониторинга попыток входа.

Откройте ADAC и выполните следующие шаги:

1. В левой панели перейдите в domain (local) → System → Password Settings Container
2. В правой панели «Tasks» нажмите «New → Password Settings»
3. Заполните параметры:
   • Name: PSO-Admins
   • Precedence: 10
   • Minimum password length: 14
   • Password history count: 24
   • Maximum password age: 30 дней
   • Account lockout: 3 попытки / 30 минут
4. В разделе «Directly Applies To» нажмите «Add» и выберите группу «Domain Admins»
5. Нажмите «OK» для создания PSO

ADAC удобен для визуального контроля существующих PSO, но для массового создания и модификации рекомендуется PowerShell.

Проверка эффективной политики для конкретного пользователя:

# Какая политика применяется к пользователю?
Get-ADUserResultantPasswordPolicy -Identity "admin.ivanov"

# Список всех PSO в домене
Get-ADFineGrainedPasswordPolicy -Filter *

# Кому назначен конкретный PSO?
Get-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins"

# Детали конкретного PSO
Get-ADFineGrainedPasswordPolicy -Identity "PSO-Admins" | Format-List *

# Проверка: попадает ли пользователь в группу с PSO?
Get-ADPrincipalGroupMembership -Identity "admin.ivanov" | Where-Object {
    $groups = Get-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins"
    $groups.Name -contains $_.Name
}

Если Get-ADUserResultantPasswordPolicy возвращает пустой результат, к пользователю применяется Default Domain Policy.

Актуальные рекомендации (NIST SP 800-63B, Microsoft Security Baseline) отличаются от традиционных подходов:

NIST рекомендует отказаться от обязательной периодической смены паролей, так как это снижает качество паролей. Вместо этого — длинные парольные фразы + MFA. Если бизнес-процессы требуют смену — установите 180-365 дней для обычных пользователей.

Включите аудит через Group Policy и отслеживайте следующие события в Security Log:

• Event ID 4723 — пользователь попытался изменить пароль учётной записи
• Event ID 4724 — администратор сбросил пароль пользователя
• Event ID 4740 — учётная запись заблокирована
• Event ID 4767 — учётная запись разблокирована
• Event ID 4771 — предварительная аутентификация Kerberos не удалась (неверный пароль)

# PowerShell: поиск блокировок за последние 24 часа
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    ID = 4740
    StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, @{
    Name='Account'; Expression={$_.Properties[0].Value}
}, @{
    Name='Source'; Expression={$_.Properties[1].Value}
} | Format-Table -AutoSize