Politiques de mots de passe dans AD : stratégie par défaut, PSO et longueur avant complexité
Beaucoup de domaines appliquent encore une politique unique de huit caractères complexes, identique pour un stagiaire et pour un administrateur du domaine. Active Directory permet pourtant depuis longtemps de différencier les exigences. Voici comment structurer une politique réaliste.
La stratégie de domaine par défaut
Pour les comptes du domaine, les paramètres de mot de passe et de verrouillage ne sont lus que dans une GPO liée à la racine du domaine, habituellement la Default Domain Policy. Une GPO de mots de passe liée à une OU n'affecte que les comptes locaux des machines de cette OU : c'est une source de confusion fréquente. Il n'existe donc qu'une politique « de base » par domaine.
Les politiques granulaires (PSO)
Les objets de paramètres de mot de passe (Password Settings Objects) permettent de définir d'autres exigences pour certains comptes. Ils s'appliquent à des utilisateurs ou à des groupes de sécurité globaux, pas à des OU. En cas de chevauchement, l'attribut msDS-PasswordSettingsPrecedence départage : la valeur la plus faible l'emporte.
New-ADFineGrainedPasswordPolicy -Name 'PSO-Admins' -Precedence 10 ` -MinPasswordLength 16 -ComplexityEnabled $true ` -LockoutThreshold 10 -LockoutDuration '00:30:00' ` -LockoutObservationWindow '00:30:00' ` -ReversibleEncryptionEnabled $false Add-ADFineGrainedPasswordPolicySubject 'PSO-Admins' -Subjects 'Tier0-Admins'
Usages typiques :
- comptes d'administration : longueur nettement supérieure à celle des utilisateurs ;
- comptes de service qui ne peuvent pas être des gMSA : mots de passe très longs, générés aléatoirement ;
- utilisateurs standard : politique de base, alignée sur les recommandations actuelles.
Les PSO permettent aussi de dépasser la limite historique de 14 caractères de l'éditeur de GPO.
La longueur avant la complexité
Les recommandations de l'ANSSI comme celles du NIST convergent dans les grandes lignes : la longueur apporte davantage que les règles de composition, qui poussent vers des motifs prévisibles. Le NIST déconseille en outre les changements périodiques imposés sans indice de compromission et recommande de refuser les mots de passe connus comme compromis. Les seuils exacts varient selon les documents et leurs versions ; l'important est de privilégier les phrases de passe et d'associer la politique à un filtrage des mots de passe faibles, et à l'authentification multifacteur là où elle est possible.
Verrouillage de compte : trouver l'équilibre
Un seuil trop bas permet à n'importe qui de bloquer des comptes en série. L'absence de verrouillage laisse le champ libre à la pulvérisation de mots de passe. Un seuil modéré, avec une durée de verrouillage limitée et une réinitialisation automatique du compteur, constitue généralement un compromis raisonnable, complété par une alerte sur les pics d'échecs d'authentification.
À proscrire. Le paramètre « Enregistrer les mots de passe en utilisant un chiffrement réversible » équivaut à stocker les mots de passe presque en clair. Il doit être désactivé dans la stratégie par défaut, dans chaque PSO, et sur chaque compte où l'option aurait été cochée individuellement.
Ce qu'un audit vérifie
- Les paramètres effectifs de la politique par défaut et de chaque PSO.
- Les comptes privilégiés couverts, ou non, par une politique renforcée.
- Les comptes avec chiffrement réversible, mot de passe non requis ou n'expirant jamais.
- La cohérence entre la politique écrite et la configuration réelle.