Active Directory 도메인 Services에 대한 세분화된 암호 정책 구성

세분화된 암호 정책은 도메인의 여러 사용자 집합에 대해 서로 다른 암호 및 계정 잠금 정책을 정의하는 방법을 제공합니다. 세분화된 암호 정책을 사용하여 단일 도메인 내에서 여러 암호 정책을 지정할 수 있습니다. 도메인의 여러 사용자 집합에 암호 및 계정 잠금 정책에 대해 다른 제한을 적용할 수도 있습니다. 예를 들어 더 엄격한 설정을 권한 있는 계정에 적용하고 덜 엄격한 설정을 다른 사용자 계정에 적용할 수 있습니다.

세분화된 암호 정책은 전역 보안 그룹 및 사용자 개체에만 적용됩니다. 기본적으로 Domain Admins 그룹의 구성원만 세분화된 암호 정책을 설정할 수 있습니다. 그러나 이러한 정책을 설정하는 기능을 다른 사용자에게 위임할 수도 있습니다.

Prerequisites

세분화된 암호 정책을 만들려면 다음 필수 구성 요소를 완료해야 합니다.

• 도메인 기능 수준은 Windows Server 2012 이상이어야 합니다.

• 도메인 관리자 그룹의 구성원이어야 합니다.

• 다음 RSAT(원격 서버 관리 도구) 중 하나가 설치되어 있어야 합니다.

  • Active Directory Administrative Center (ADAC), or Active Directory module for Windows PowerShell.

세분화된 암호 정책 만들기

새 세분화된 암호 정책을 만들려면 다음 단계를 수행합니다.

Active Directory 관리 센터

ADAC를 사용하여 세분화된 암호 정책을 만드는 방법은 다음과 같습니다.

1. Open Active Directory Administrative Center, either from the Tools menu of the Server Manager console or by running an elevated PowerShell session and typing dsac.exe.

2. If the appropriate target domain isn't selected, choose Manage, choose Add Navigation Nodes, and select the appropriate target domain in the Add Navigation Nodes dialog box and then choose OK.

3. In the ADAC navigation pane, open the System container, and then choose Password Settings Container.

4. In the Tasks pane, choose New, and then choose Password Settings.

5. Fill in or edit fields inside the property page to create a new Password Settings object. The Name and Precedence fields are required.

6. 직접 적용 대상에서 추가를 선택하고 세분화된 암호 정책이 있는 그룹의 이름을 입력한 다음 확인을 선택합니다.

7. Choose OK to submit the creation.

PowerShell

Here's how to create a fine grained password policy using the New-ADFineGrainedPasswordPolicy cmdlet.

1. To open an elevated PowerShell session, right-click on the Start button, choose Windows PowerShell (Admin).

2. 명명 PasswordPolicy된 새 세분화된 암호 정책을 만들려면 다음 예제를 사용합니다. 필요에 따라 설정을 조정하고 명령을 실행합니다.

   $policyParams = @{
       Name = "PasswordPolicy"
       ComplexityEnabled = $true
       LockoutDuration = "00:30:00"
       LockoutObservationWindow = "00:30:00"
       LockoutThreshold = "0"
       MaxPasswordAge = "42.00:00:00"
       MinPasswordAge = "1.00:00:00"
       MinPasswordLength = "7"
       PasswordHistoryCount = "24"
       Precedence = "1"
       ReversibleEncryptionEnabled = $false
       ProtectedFromAccidentalDeletion = $true
   }
   
   New-ADFineGrainedPasswordPolicy @policyParams
   

3. Assign the new policy to a group using the Add-ADFineGrainedPasswordPolicySubject cmdlet. 예를 들어 그룹에 정책을 PasswordPolicy 할당 group1 하려면 다음 명령을 실행합니다.

   Add-ADFineGrainedPasswordPolicySubject PasswordPolicy -Subjects group1
   

사용자에 대한 결과 정책 집합 보기

특정 사용자에게 적용되는 결과 정책을 보려면 다음 단계를 수행합니다.

Active Directory 관리 센터

ADAC를 사용하여 특정 사용자에게 적용되는 결과 정책을 보는 방법은 다음과 같습니다.

1. Open Active Directory Administrative Center, either from the Tools menu of the Server Manager console or by running an elevated PowerShell session and typing dsac.exe.

2. If the appropriate target domain isn't selected, choose Manage, choose Add Navigation Nodes, and select the appropriate target domain in the Add Navigation Nodes dialog box and then choose OK.

3. 결과 정책 설정을 보려는 사용자로 이동합니다.

4. 작업 창에서 결과 암호 설정 보기를 선택합니다.

5. Examine the password setting policy and then choose Cancel.

PowerShell

Here's how to use the Get-ADUserResultantPasswordPolicy cmdlet to view the policy that applies to a specific user.

1. To open an elevated PowerShell session, right-click on the Start button, choose Windows PowerShell (Admin).

2. 적용되는 user1결과 정책을 보려면 명령을 실행합니다. 원하는 사용자로 바꿉다 user1 .

   Get-ADUserResultantPasswordPolicy -Identity test1
   

세분화된 암호 정책 편집

다음 단계를 사용하여 세분화된 암호 정책을 편집합니다.

Active Directory 관리 센터

ADAC를 사용하여 세분화된 암호 정책을 편집하는 방법은 다음과 같습니다.

1. Open Active Directory Administrative Center, either from the Tools menu of the Server Manager console or by running an elevated PowerShell session and typing dsac.exe.

2. If the appropriate target domain isn't selected, choose Manage, choose Add Navigation Nodes, and select the appropriate target domain in the Add Navigation Nodes dialog box and then choose OK.

3. In the ADAC Navigation Pane, expand System and then expand the Password Settings Container.

4. Select the fine grained password policy you wish to edit and choose Properties in the Tasks pane.

5. Modify the settings that you wish to change and choose OK.

PowerShell

Here's how to use the Set-ADFineGrainedPasswordPolicy cmdlet to modify an existing policy.

1. Open an elevated PowerShell session, right-click on the Start button. Windows PowerShell(관리자)을 선택합니다.

2. 정책의 암호 기록 설정을 PasswordPolicy 변경하려면 다음 명령을 실행합니다. 원하는 정책 이름으로 바꿉 PasswordPolicy 습니다.

   Set-ADFineGrainedPasswordPolicy PasswordPolicy -PasswordHistoryCount:"30"
   

3. 같은 방법으로 다른 설정을 변경할 수 있습니다. For more information, review the Set-ADFineGrainedPasswordPolicy reference article.

세분화된 암호 정책 삭제

세분화된 암호 정책을 삭제하려면 다음 단계를 수행합니다.

Active Directory 관리 센터

ADAC를 사용하여 세분화된 암호 정책을 삭제하는 방법은 다음과 같습니다.

1. Open Active Directory Administrative Center, either from the Tools menu of the Server Manager console or by running an elevated PowerShell session and typing dsac.exe.

2. If the appropriate target domain isn't selected, choose Manage, choose Add Navigation Nodes, and select the appropriate target domain in the Add Navigation Nodes dialog box and then choose OK.

3. In the ADAC Navigation Pane, expand System and then expand Password Settings Container.

4. Select the fine grained password policy you wish to remove and in the Tasks pane choose Properties.

5. 실수로 인한 삭제로부터 보호 확인란의 선택을 취소하고 확인을 선택합니다.

6. Select the fine grained password policy, and in the Tasks pane choose Delete.

7. Choose OK in the confirmation dialog to delete the policy.

PowerShell

Here's how to use the Remove-ADFineGrainedPasswordPolicy cmdlet to delete a fine grained password policy.

1. Open an elevated PowerShell session by right-clicking on the Start button and choosing Windows PowerShell (Admin).

2. 다음 명령을 실행하여 정책에서 삭제 보호를 제거합니다. 원하는 정책 이름으로 바꿉 PasswordPolicy 습니다.

   Set-ADFineGrainedPasswordPolicy -Identity PasswordPolicy -ProtectedFromAccidentalDeletion $False
   

3. 정책을 제거하려면 다음 명령을 실행합니다. 원하는 정책 이름으로 바꿉 PasswordPolicy 습니다.

   Remove-ADFineGrainedPasswordPolicy PasswordPolicy