← Active Directory

Authentifizierungs- & Passwort-Richtlinien

Die Benutzer liegen sauber in OUs, also hängt man die strengere Kennwortrichtlinie einfach an die OU der Administratoren — und genau das geht nicht: Ein PSO lässt sich laut Dokumentation ausschließlich auf Benutzerobjekte und globale Sicherheitsgruppen anwenden, nie auf eine OU. Dieses Modul behandelt Authentifizierungsrichtlinien als Betriebsentscheidungen mit zwei Seiten — die drei getrennten Hebel Domänenrichtlinie, PSO und Kontosperrung, die Präzedenzregel samt ihrem willkürlichen Tiebreak über die kleinste GUID, Sperrschwellen als Verfügbarkeitsrisiko, die Gruppe Protected Users mit ihren dokumentierten Verboten und der Kehrseite, dass ihre Mitglieder sich offline nicht mehr anmelden können, sowie Silos und verwaltete Dienstkonten als die Grenzen, die den Schaden begrenzen, wenn ein Credential doch abfließt.

Solide · ~30 Min · 12 Abschnitte Einführung · 13 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Für abweichende Kennwortvorgaben das richtige Ziel wählen und das effektive PSO je Konto nachweisen.
  • ✓Eine Sperrschwelle begründen, die weder Raten erleichtert noch dem Helpdesk die Woche füllt.
  • ✓Eine Einschränkung wie Silo, Protected Users oder RC4-Abschaltung einführen, ohne den Betrieb auszusperren.

Übungen

  • 1. EntscheidungWelche Passwort- und Lockout-Policy gilt für das Konto?
  • 2. EntscheidungWie modellierst du die Abweichung?
  • 3. EntscheidungWelche Änderung verbessert die reale Widerstandsfähigkeit am ehesten?
  • 4. EntscheidungWas ist die beste erste Entscheidung?
  • 5. EntscheidungWie ersetzt du das Konto?
  • 6. EntscheidungWas ist die richtige Reaktion?
  • 7. EntscheidungWie führst du das Authentication Policy Silo sicher ein?
  • 8. EntscheidungWelcher Plan ist betrieblich und sicherheitlich besser?
  • 9. EntscheidungWie bewertest du den Vorschlag?
  • 10. MissionPSO- und gMSA-Audit
  • 11. EntscheidungWelche Entscheidung hält die Tier-Grenze?
  • 12. EntscheidungWas kommt vor dem breiten Enforcement?
  • 13. EntscheidungWie sollte dieser Ausnahmeweg gestaltet sein?
Quellen & Aktualität25 Primärquellen · zuletzt geprüft:
  1. 01learn.microsoft.com/en-us/previous-versions/wi…008/cc770842(v=ws.10
  2. 02learn.microsoft.com/en-us/windows-server/ident…e-protected-accounts
  3. 03learn.microsoft.com/en-us/windows-server/secur…ce-accounts-overview
  4. 04learn.microsoft.com/en-us/windows-server/ident…tand-security-groups
  5. 05learn.microsoft.com/en-us/windows-server/secur…hentication-overview
  6. 06Microsoft Learn — Fine-grained password policies (resultant PSO and precedence)
  7. 07Microsoft Learn — Fine-grained password policies apply to global security groups and users
  8. 08NIST SP 800-63B — Memorized Secret Verifiers
  9. 09Microsoft Learn — Microsoft Entra Password Protection
  10. 10Microsoft Learn — Account lockout policy
  11. 11NIST SP 800-63B — throttling and memorized secrets
  12. 12Microsoft Learn — Group Managed Service Accounts overview and password retrieval
  13. 13Microsoft Learn — Group Managed Service Accounts
  14. 14Microsoft security guidance — least privilege
  15. 15Microsoft Learn — Authentication Policies and Authentication Policy Silos (audit/enforcement)
  16. 16Microsoft Learn — Kerberos encryption types and RC4 deprecation guidance
  17. 17Microsoft Learn — Kerberos policy settings
  18. 18Microsoft Learn — Authentication Policies TGT lifetime
  19. 19Microsoft Learn — Fine-grained password policies
  20. 20Microsoft Learn — Authentication policy silos restrict high-privilege credentials
  21. 21Microsoft security guidance — enterprise access model
  22. 22Microsoft Learn — Authentication policy silos audit and enforce
  23. 23Microsoft guidance — privileged access rollout
  24. 24Microsoft security guidance — emergency access accounts
  25. 25Microsoft Learn — Authentication policy silos

Verfasst von Julian Zentgraf