特定のバージョンのパスワードの長さの監査と適用Windows

要約

Windows 10 2020 年 8 月 18 日にリリースされた更新プログラムでは、次の機能がサポートされます。

• イベントを監査して、アプリケーションとサービスが 15 文字以上のパスワードをサポートするかどうかを識別します。

• Windows Server バージョン 2004 ドメイン コントローラー (PC) でのパスワードの最小長 15 文字以上の適用。

サポートされているバージョンの Windows

パスワードの長さの監査は、次のバージョンのアカウントでWindows。 15 文字以上の最小パスワード長の適用は、Windows Server、バージョン 2004、およびそれ以降のバージョンの Windows でサポートされています。

推奨されるデプロイ

デプロイのガイドライン

最小パスワードの長 さの監査と適用の サポートを追加するには、次の手順に従います。

1. すべてのドメイン コントローラーで、サポートWindowsバージョンに更新プログラムをデプロイします。

   1. ドメイン コントローラー: 更新プログラムとそれ以降の更新プログラムでは、14 文字を超えるパスワードを使用するように構成されているユーザーまたはサービス アカウントを認証するために、すべての PC でサポートを有効にします。

   2. 管理ワークステーション: 更新プログラムを管理ワークステーションに展開して、新しいグループ ポリシー設定をDC に適用できます。

2. 必要なパスワードが必要なドメインまたはフォレストで 、MinimumPasswordLengthAudit グループ ポリシー設定を有効にします。 このポリシー設定は、ドメイン コントローラーの組織単位 (OU) にリンクされている既定のドメイン コントローラーのポリシーで有効にする必要があります。

3. 14 文字を超えるパスワードをサポートしていないすべてのソフトウェアを検出するには、監査ポリシーを 3 ~ 6 か月間有効にすることをお勧めします。

4. パスワードを 3 ~ 6 か月間管理するソフトウェアに対してログに記録された Directory-Services-SAM 16978 イベントのドメインを監視します。 ユーザー アカウントに対してログに記録された Directory-Services-SAM 16978 イベントを監視する必要はありません。

   1. 可能であれば、パスワードの長さを長く使用するソフトウェアを構成します。

   2. ソフトウェア ベンダーと一緒に、より長いパスワードを使用するためにソフトウェアを更新してください。

   3. ソフトウェアで使用 されるパスワードの 長さに一致する値を使用して、このアカウントの詳細なパスワード ポリシーをデプロイします。

   4. アカウント パスワードを管理するが、長いパスワードを自動的に使用しないソフトウェアで、長いパスワードを使用するように構成できない場合は 、これらのアカウントに対してきめ細かいパスワード ポリシーを使用できます。

5. すべての Directory-Services-SAM 16978 イベントに対処した後、最小パスワードを有効にしてください。 これを行うには、次の手順を実行します。

   1. すべての DCS (Windows DC を含む) に対する適用をサポートする Read-Only Server のバージョンをデプロイします。

   2. すべての DC で RelaxMinimumPasswordLengthLimits グループ ポリシーを有効にする。

   3. すべての PC で MinimumPasswordLength グループ ポリシーを構成します。

グループ ポリシー

Windows ログ メッセージを作成する

この追加サポートの一環として、3 つの新しいイベント ID ログ メッセージが含まれています。

ソフトウェア パスワードの変更に関するガイダンス

ソフトウェアでパスワードを設定する場合は、パスワードの最大長を使用します。

履歴

Microsoft のセキュリティ戦略全体では、パスワードを使用できない将来にしっかりと重点を置きますが、多くのお客様は、短期的から中規模の期間、パスワードから移行することはできません。 一部のセキュリティに配慮したお客様は、14 文字を超える既定のドメイン最小パスワード長設定を構成したいと考えています (たとえば、従来の短い単一のトークン パスワードではなく、より長いパスフレーズを使用するようユーザーに教育した後に行う場合があります)。 この要求をサポートするために、Windows Server 2016 の 2018 年 4 月の Windows 更新プログラムでは、パスワードの最小長を 14 文字から 20 文字に増やすグループ ポリシーの変更が有効になっています。 この変更は長いパスワードをサポートしている場合に見えましたが、最終的には不十分であり、グループ ポリシーの適用時に新しい値が拒否されました。 これらの拒否はサイレントであり、システムが長いパスワードをサポートしていないかどうかを判断するために詳細なテストが必要でした。 Windows Server 2016 と Windows Server 2019 の両方に Security Account Manager (SAM) レイヤーのフォローアップ更新プログラムが含まれており、システムが最小パスワード長が 14 文字を超えるエンドツーエンドで正しく動作するようにしました。 Windows Server 2016 と Windows Server 2019 の両方に Security Account Manager (SAM) レイヤーのフォローアップ更新プログラムが含まれており、システムが最小パスワード長が 14 文字を超えるエンドツーエンドで正しく動作するようにしました。

MinimumPasswordLengthポリシー設定では、すべての Microsoft プラットフォームで非常に長い間 (何十年も) 0 から 14 の範囲を使用できます。 この設定は、ローカル のセキュリティ設定Windows Active Directory (およびそれより前の NT4 ドメイン) の両方に適用されます。 値 0 (0) は、どのアカウントにもパスワードは必要ありません。

以前のバージョンの Windowsグループ ポリシー UI では、14 文字を超える最小パスワード長の設定が有効でなくなりました。 ただし、2018 年 4 月に、次のような更新の一環として、グループ ポリシー UI で 14 文字を超えるサポートを追加した Windows 10 更新プログラムをリリースしました。

• KB 4093120: 2018 年 4 月 17 日 — KB4093120 (OS ビルド 14393.2214)

この更新プログラムには、次のリリース ノート テキストが含まれていました。

"グループ ポリシーの最小パスワード長を 20 文字に増やします。"

2018 年 4 月のリリースをインストールし、更新プログラムに取ってかわるお客様の中には、14 文字を超えるパスワードをまだ使用できないという問題がありました。 調査により、パスワード ポリシーで定義された 14 文字を超えるパスワードを提供する DC ロール コンピューターに追加の更新プログラムをインストールする必要があるという点が確認されました。 次の更新プログラムでは、Windows Server 2016、Windows 10、バージョン 1607、および 14 文字を超えるパスワードを使用したサービス ログオンと認証要求に対する Windows 10 ドメイン コントローラーの初回リリースが有効になっています。

• KB 4467684: 2018 年 11 月 27 日 — KB4467684 (OS ビルド 14393.2639)

この更新プログラムには、次のリリース ノート テキストが含まれていました。

"パスワードの最小長が 14 文字より長く構成されている場合に、ドメイン コントローラーがグループ ポリシーのパスワード ポリシーを適用できる問題に対応します。"

• KB 4471327: 2018 年 12 月 11 日— KB4471321 (OS ビルド 14393.2665)

一部のお客様は、2018 年 4 月から 2018 年 10 月の更新プログラムをインストールした後、ポリシーで 14 文字を超えるパスワードを定義しました。この更新プログラムは、基本的に 2018 年 11 月と 2018 年 12 月の更新プログラムまで休止状態のままでした。または、ポリシーで 14 文字を超えるパスワードをサービスに提供するネイティブ OS 対応ドメイン コントローラーにより、機能有効化とポリシー アプリケーション間の時間/原因リンクが削除されます。 グループ ポリシーとドメイン コントローラーの更新プログラムを同時にインストールしたかどうかに関して、次のような副作用が発生する可能性があります。

• 現在、14 文字を超えるパスワードと互換性のないアプリケーションで公開されている問題。

• リリース バージョンの Windows Server 2019 で構成されるドメイン、または 14 文字を超えるパスワードと 14 文字を超えるパスワードをサポートする更新された 2016 年 2016 年の PC と、14 文字を超えるパスワードをサポートしていない Windows Server 2016 より前のドメイン (バックポートが存在し、Windows Server 2016 用にインストールされるまで) で発生する問題が公開されます。

• KB4467684をインストールした後、グループ ポリシー "最小パスワードの長さ" が 14 文字より長く構成されている場合、クラスター サービスは"2245 (NERR_PasswordTooShort)" というエラーで開始に失敗することがあります。

  この既知の問題のガイダンスは、ドメインの既定の "最小パスワードの長さ" ポリシーを 14 文字以下に設定する方法でした。 Microsoft では現在この問題の解決に取り組んでおり、今後のリリースで更新プログラムを提供する予定です。

以前の問題により、2019 年 1 月の更新プログラムでは、14 文字を超えるパスワードに対する DC 側のサポートが削除され、この機能を使用できません。