Cách tạo chính sách mật khẩu trong Azure Active Directory

Chính sách mật khẩu của bạn trong Azure AD hoạt động hơi khác so với những gì bạn quen thuộc trong Active Directory tại chỗ, vì không có quyền kiểm soát trực tiếp đối với các yêu cầu phức tạp. Tuy nhiên, tương tự như Active Directory, chính sách mật khẩu vẫn cho phép bạn xác định độ dài mật khẩu và điều kiện khóa, cũng như cung cấp các tính năng bổ sung, bao gồm danh sách mật khẩu bị cấm tùy chỉnh.

Trong hướng dẫn này, tôi sẽ chỉ cho bạn cách sửa đổi và tăng tính bảo mật cho chính sách mật khẩu của bạn trong Azure Active Directory.

Chính sách mật khẩu Azure AD mặc định là gì?

Không thể sửa đổi chính sách mật khẩu mặc định được áp dụng cho tất cả tài khoản người dùng dựa trên đám mây ngoài các tùy chọn có thể chỉnh sửa mà tôi sẽ hướng dẫn bạn trong hướng dẫn này. Dưới đây bạn có thể xem cài đặt mặc định cho chính sách mật khẩu Azure AD tích hợp sẵn.

Characters allowed

A - Z
a - z
0 - 9
@ # $% ^& * - _ ! +=[ ] { } |\: ‘ , . ?/` ~ ” ( ) ; < >
Dấu trống

Characters not allowed

Ký tự Unicode

Password restrictions

Tối thiểu 8 ký tự và tối đa 256 ký tự.
Yêu cầu ba trong số bốn ký tự sau:
- Ký tự viết thường
- Ký tự viết hoa
- Số (0-9)
- Ký hiệu (xem các hạn chế về mật khẩu trước đó)

Password expiry duration (Maximum password age)

Giá trị mặc định: 90 ngày. Nếu đối tượng thuê được tạo sau năm 2021 thì đối tượng thuê đó sẽ không có giá trị hết hạn mặc định. Bạn có thể kiểm tra chính sách hiện tại bằng Get-MsolPasswordPolicy.
Có thể định cấu hình giá trị này bằng cách sử dụng lệnh ghép ngắn Set-MsolPasswordPolicy từ Mô-đun Azure Active Directory cho Windows PowerShell.

Password expiry (Let passwords never expire)

Giá trị mặc định: false (cho biết mật khẩu có ngày hết hạn).
Có thể định cấu hình giá trị cho từng tài khoản người dùng bằng cách sử dụng lệnh ghép ngắn Set-MsolUser.

Password change history

Mật khẩu cuối cùng không thể được sử dụng lại khi người dùng thay đổi mật khẩu.

Password reset history

Mật khẩu cuối cùng có thể được sử dụng lại khi người dùng đặt lại mật khẩu đã quên.

Theo mặc định, các cài đặt được áp dụng ở trên không liên quan đến các tài khoản được đồng bộ hóa với Azure Active Directory thông qua Azure AD Connect vì chính sách mật khẩu từ thư mục tại chỗ của bạn được ưu tiên. Tuy nhiên, bạn có thể thực thi chính sách mật khẩu Azure AD Connect để có hiệu lực… Hãy xem hướng dẫn của tôi để Đồng bộ hóa Chính sách mật khẩu Azure AD của bạn với AD tại chỗ.

Cách thay đổi hết hạn mật khẩu trong Azure AD

Để thay đổi thời hạn hết hạn mật khẩu cho tất cả người dùng trong Azure AD. Đi tới Trung tâm quản trị Microsoft 365 > Cài đặt > Cài đặt tổ chức > Bảo mật và quyền riêng tư > Hết hạn mật khẩu chính sách. Tại đây bạn có thể đặt mật khẩu không bao giờ hết hạn hoặc xác định thời gian hết hạn.

Để ngăn chặn việc sử dụng mật khẩu đơn giản hoặc có thể dự đoán được, bạn nên đặt mật khẩu không bao giờ hết hạn và khuyến khích hoặc hướng dẫn người dùng của mình đặt mật khẩu an toàn chỉ được sử dụng cho Azure AD. Thực hiện điều này cũng như triển khai các biện pháp kiểm soát bảo mật cơ bản như xác thực đa yếu tố sẽ an toàn hơn rất nhiều so với việc cho phép hết hạn mật khẩu. Nếu bạn muốn biết cách thực thi xác thực đa yếu tố trong tổ chức của mình, hãy xem hướng dẫn của tôi về Cách tạo chính sách Truy cập có điều kiện trong Azure Active Directory.

Kích hoạt bảo vệ mật khẩu trong Azure AD

Bảo vệ bằng mật khẩu trong Azure AD cung cấp khả năng bảo mật và kiểm soát bổ sung đối với cài đặt mật khẩu và điều kiện khóa của người dùng. Các tính năng này nhanh chóng, dễ cấu hình và có thể cung cấp khả năng quản lý hiệu quả để ngăn chặn mật khẩu dễ đoán.

Để truy cập các tính năng Bảo vệ bằng mật khẩu trong Azure AD, hãy chọn Azure Active Directory > Bảo mật.

Trong tiêu đề Quản lý, hãy chọn Phương thức xác thực.

Sau đó chọn Bảo vệ bằng mật khẩu.

Trên trang Bảo vệ bằng mật khẩu, bạn có tùy chọn định cấu hình Ngưỡng khóa, xác định số lần đăng nhập không thành công cho đến khi tài khoản chuyển sang trạng thái khóa. Thời gian khóa xác định tài khoản của bạn sẽ ở trạng thái khóa trong bao lâu và bạn có tùy chọn triển khai Danh sách mật khẩu bị cấm tùy chỉnh để ngăn chặn những mật khẩu dễ đoán.

Mặc dù tôi sẽ không đề cập đến Bảo vệ mật khẩu cho WIndows Server Active Directory trong hướng dẫn này, nhưng để kích hoạt tính năng này, bạn sẽ cần có tác nhân DC Bảo vệ mật khẩu Azure AD hoặc Proxy bảo vệ mật khẩu Azure AD được cài đặt trên bộ điều khiển miền.

Điều gì xảy ra khi bạn triển khai danh sách mật khẩu bị cấm?

Danh sách mật khẩu bị cấm tùy chỉnh là một cách đơn giản để chặn người dùng đặt mật khẩu đơn giản và dễ đoán một cách hiệu quả, chẳng hạn như tên của họ, tên công ty hoặc các biến thể tương tự của cả hai. Danh sách mật khẩu bị cấm tùy chỉnh chỉ cho phép tối đa 1000 mục danh sách nên điều quan trọng là phải sử dụng nó một cách hiệu quả.

Khi bạn thực thi bảo vệ bằng mật khẩu, bao gồm cả danh sách mật khẩu bị cấm, nếu người dùng đã có mật khẩu được liệt kê thì sẽ không có ảnh hưởng gì đến người dùng đó và họ có thể tiếp tục làm việc mà không bị gián đoạn. Tuy nhiên, nếu người dùng sau đó thay đổi mật khẩu của họ thành mật khẩu được liệt kê trong danh sách mật khẩu bị cấm, họ sẽ gặp phải lỗi sau.

Tạo danh sách mật khẩu cấm Custom hiệu quả

Do giới hạn mật khẩu trong danh sách Mật khẩu bị cấm tùy chỉnh, điều quan trọng là bạn phải xác định danh sách của mình một cách hiệu quả, thay vì chỉ sao chép và dán của người khác từ internet. Mật khẩu trong danh sách của bạn phải liên quan theo cách nào đó đến nhân viên hoặc tổ chức của bạn, một số ví dụ bao gồm:

• Tên công ty
• Địa điểm công ty hoặc nhân viên
• Tên tòa nhà hoặc văn phòng
• Các thuật ngữ, khẩu hiệu hoặc đoạn hội thoại cụ thể được công ty sử dụng
• Tên sản phẩm, dịch vụ công ty cung cấp

Chuẩn hóa

Khi mật khẩu trong danh sách được đánh giá, quá trình chuẩn hóa sẽ diễn ra để phát hiện xem mật khẩu đã nhập có được tìm thấy trong danh sách hay không. Điều này có nghĩa là các biến thể của mật khẩu trong danh sách cũng được tự động phát hiện và chặn.

Ví dụ: nếu bạn có cụm từ ourcloudnetwork trong danh sách mật khẩu bị cấm và ai đó đã sử dụng mật khẩu 0urC10udN3w0rk, mật khẩu đó sẽ tự động bị chặn. Điều này mở rộng đáng kể phạm vi được cung cấp bởi danh sách mật khẩu bị cấm trong Azure AD.

Sự thay thế ký tự có thể được tìm thấy trong bảng dưới đây.

0

ồ

1

tôi

$

S

@

Một

Kết hợp mờ

Một quy trình được gọi là So khớp mờ cũng được sử dụng để xác định xem nên cho phép hay cấm mật khẩu. Nó thực hiện điều này bằng cách đánh giá xem mật khẩu chuẩn hóa có được tìm thấy trong danh sách mật khẩu bị cấm hay không dựa trên phương sai ký tự là 1.

Ví dụ: nếu cụm từ ourcloudnetwork được liệt kê trong danh sách mật khẩu bị cấm thì mỗi mật khẩu sau cũng sẽ bị cấm:

• 0urC10udN3w0rp - chữ cái cuối cùng 'k' đã được thay thế bằng 'p'
• 0urC10udN3w0rk6 - ‘6’ đã được thêm vào cuối.
• TurC10udN3w0rk - ký tự đầu tiên '0' đã được thay thế bằng 'T'
• 0urC10udN3w0r - chữ cái cuối cùng ‘k’ đã bị xóa
• L0urC10udN3w0rk - ‘L’ đã được thêm vào đầu

So khớp chuỗi con

So khớp chuỗi con được sử dụng trên mật khẩu đã chuẩn hóa để phát hiện xem họ, tên hoặc tên đối tượng thuê của người dùng có được tìm thấy trong mật khẩu hay không, bất kể thông tin đó có được tìm thấy trong danh sách Mật khẩu bị cấm tùy chỉnh hay không.

Ví dụ: tên tôi là Daniel Bradley trong Azure Active Directory, nếu tôi cố đặt lại mật khẩu của mình thành D@ni31network5 thì sau khi được chuẩn hóa, nó sẽ trở thành Danielnetwork5 và mật khẩu sẽ bị chặn sử dụng.

Phần kết luận

Việc sửa đổi cài đặt mật khẩu của bạn và triển khai bảo vệ mật khẩu thường bị bỏ qua khi di chuyển sang chỉ trên nền tảng đám mây hoặc khi bạn đang 'làm quen' với việc giữ nguyên các giá trị mặc định. Nếu bạn có Azure AD Premium P1 hoặc P2, tôi thực sự khuyên bạn nên xem cài đặt Bảo vệ bằng mật khẩu trong Azure AD và tăng cường bảo mật mật khẩu của mình ngay bây giờ. Đây là những thay đổi có tác động lớn mà không gây gián đoạn cho quá trình sản xuất.