PSO(Password Setting Object)を利用したパスワードポリシーについて解説します。パスワードポリシーは組織のシステムセキュリティーの基本なので確実に押さえておきたいところです。
PSOとは
PSOとはPassword Settings Objectの略称です。
Windows Server 2008から追加された機能で特殊なオブジェクトで構成されています。
ユーザーまたはグローバルセキュリティグループに適用するものでグループポリシーオブジェクト（GPO）で作成するアカウントポリシーよりも優先されます。
OUには直接適用できません。ユーザーごとの最終的な適用結果を確認することが重要です。
GPOとPSOの比較
GPOでのパスワードポリシーは、ドメインにリンクされたグループポリシーでのみ設定が可能で、ドメインユーザーの既定のポリシーになります。PSOが適用されるユーザーは、そのPSOの設定が優先されます。
一方PSOではユーザーまたはグループ単位でのパスワードポリシーの設定が可能です。また、GPOより細かいパスワードポリシーが設定可能な点もメリットになります。
参考までに、GPOでのパスワードポリシーの定義方法は【Active Directory】GPOでパスワードポリシーを設定する方法と重要な注意点をご覧ください
ユーザー毎のパスワード設定ができるメリット
ところで、ユーザー毎にパスワードポリシーを設定する機会はあるのでしょうか？長年システム管理をしていた経験から答えると「あります！」
例えば、管理者などの重要なアカウントに、通常ユーザーとは異なる厳格なパスワード・ロックアウト条件を適用する用途があります。役職や利便性だけを理由に保護を弱める運用は避け、組織の基準とリスクに基づいて設計します。全員が同じ基準なら、必ずしもPSOを追加する必要はありません。
PSOの設定
さて実際に設定をしてみましょう。
設定画面を開く
Active Directory の管理センターを開きます。
左画面上の「ドメイン名－system－Password Setting Container」 をクリック
右画面上で「右クリックー新規ーパスワードの設定」をクリック
パスワード設定を行う
下記パスワード設定の専用画面が開きますので、必要な項目に記入をします。項目としてはほぼアカウントポリシーと同じですが、一つの画面で全て設定できるので利便性は上だと思います。
下方にある「追加ボタン」でパスワードポリシーを設定するユーザーまたはグループを選択して完了です。最初は検証用ユーザーまたはグローバルセキュリティグループを指定し、いきなりDomain Users全体へ適用しないでください。
優先順位と適用結果を確認する
ユーザーに直接設定されたPSOは、所属グループを通じて適用されるPSOより優先されます。同じ候補区分に複数ある場合はPrecedenceの小さい値が優先です。重複する値を避けて設計し、実際の結果を確認します。
Active Directoryモジュールが利用できる管理環境では、次の読み取りコマンドで対象ユーザーの結果を確認できます。user01は対象のアカウント名に置き換えてください。PSOが返らない場合は、既定のドメインパスワードポリシーも確認します。
Get-ADUserResultantPasswordPolicy -Identity user01
Get-ADDefaultDomainPasswordPolicy設定前の値と対象グループを記録し、検証用アカウントでパスワード変更・ロックアウト条件を確認してから展開します。ここでは実環境への設定変更は行っていません。
まとめ
PSOはユーザー・グローバルセキュリティグループ単位で例外のポリシーを設定するための機能です。既定のドメインポリシーとの使い分け、優先順位、実際に適用されるユーザーを確認して運用してください。
コメント