تنظیمات Password Policy در ویندوز

مدیریت دسترسی و ایمن‌سازی حساب‌های کاربری در شبکه بدون اعمال قوانین سخت‌گیرانه روی رمزهای عبور امکان‌پذیر نیست. پیاده‌سازی تنظیمات Password Policy در ویندوز اولین خط دفاعی مدیران شبکه برای جلوگیری از حملات نفوذ، Brute Force و سرقت اعتبارنامه (Credential Stuffing) محسوب می‌شود. ابزار اصلی برای اعمال این سیاست‌ها، کنسول Group Policy است که اجازه می‌دهد الزامات طول رمز، پیچیدگی و طول عمر حساب‌ها را به صورت متمرکز یا محلی پیکربندی کنید.

کسب‌وکارهای امروزی برای حفظ امنیت دارایی‌های دیجیتال خود به زیرساخت‌های پایدار متکی هستند. اگر تمایل دارید مهارت‌های خود را در مدیریت شبکه و پیکربندی سیستم‌عامل‌های مایکروسافت ارتقا دهید، مراجعه به دسته‌بندی آموزش‌های مایکروسافت مسیر یادگیری کاملی را در اختیار شما قرار می‌دهد.

تفاوت ساختاری Local Group Policy و Domain Password Policy

پیش از بررسی گزینه‌های اجرایی، باید تفکیک ساختاری میان سیستم‌های مستقل (Workgroup) و محیط‌های مبتنی بر دامنه (Active Directory Domain Services) را در نظر گرفت. هنگامی که دستور gpedit.msc را در ویندوز ۱۰ یا ویندوز ۱۱ اجرا می‌کنید، وارد کنسول Local Group Policy Editor می‌شوید. تغییرات در این بخش تنها روی همان رایانه محلی اعمال می‌شوند.

در کنسول مدیریت سیاست‌ها، دو بخش اصلی به چشم می‌خورد:

• Computer Configuration: تنظیماتی که مستقیماً روی سیستم‌عامل و سخت‌افزار اعمال می‌شوند؛ صرف‌نظر از اینکه چه کاربری به سیستم ورود (Log On) کرده باشد.

• User Configuration: پیکربندی‌هایی که به حساب کاربری وابسته هستند و با ورود کاربر روی هر رایانه‌ای در شبکه فعال می‌شوند.

نکته حیاتی این است که تنظیمات مربوط به group policy password policy ماهیت امنیتی رایانه را تعیین می‌کنند؛ بنابراین همواره در بخش Computer Configuration قرار دارند. در دامین اکتیو دایرکتوری، این سیاست‌ها از طریق Default Domain Policy به تمام اعضای شبکه اعمال می‌شوند و پالیسی‌های محلی را بازنویسی (Override) می‌کنند.

مسیر دسترسی به تنظیمات Password Policy در ویندوز

برای دسترسی به گزینه‌های مدیریتی رمز عبور در ویندوز سرور یا کلاینت‌ها، مراحل زیر را طی کنید:

1. کلیدهای ترکیبی Win + R را فشار داده و عبارت gpedit.msc (برای سیستم محلی) یا gpmc.msc (برای مدیریت دامین) را وارد کنید.

   

2. مسیر زیر را دنبال کنید:

Computer Configuration -> Windows Settings -> Security Settings -> Account Policies -> Password Policy

در این مسیر، ۶ گزینه استاندارد برای تعیین الزامات امنیت رمز عبور وجود دارد که در ادامه عملکرد دقیق هر یک را تحلیل می‌کنیم.

بررسی تخصصی ۶ مولفه اصلی در تنظیمات Password Policy در ویندوز

مایکروسافت در مستندات رسمی خود الزامات مشخصی را برای پیکربندی این ۶ بخش پیشنهاد کرده است. برای مطالعه جزئیات بیشتر در مراجع بین‌المللی می‌توانید به Microsoft Password Policy Documentation مراجعه کنید.

۱. Enforce password history (نگهداری تاریخچه رمز عبور)

این پارامتر تعداد رمزهای عبور قبلی کاربر را در حافظه امن سیستم ذخیره می‌کند تا از تکرار مجدد آن‌ها جلوگیری شود. مقدار پیش‌فرض در دامین ۲۴ رمز عبور است. به این معنی که کاربر نمی‌تواند تا ۲۴ بار تعویض، از کلمات عبور قبلی خود استفاده کند. تنظیم این عدد روی ۰ ویژگی حفظ تاریخچه را غیرفعال می‌سازد.

۲. Maximum password age (حداکثر طول عمر رمز عبور)

این گزینه مشخص می‌کند یک کلمه عبور چند روز اعتبار دارد قبل از اینکه سیستم‌عامل کاربر را مجبور به تغییر آن کند. مقدار استاندارد مایکروسافت ۴۲ روز است. تنظیم این مقدار روی ۰ باعث می‌شود رمز عبور هرگز منقضی نشود؛ حالتی که برای حساب‌های سرویس (Service Accounts) کاربرد دارد اما برای کاربران معمولی خطرات امنیتی ایجاد می‌کند.

۳. Minimum password age (حداقل طول عمر رمز عبور)

این سیاست مکمل گزینه Enforce password history است. اگر این مقدار روی ۰ باشد، کاربر می‌تواند در یک روز ۲۴ بار متوالی رمز عبور خود را تغییر دهد تا مجدداً به همان رمز اول برسد و محدودیت تاریخچه را دور بزند. با تنظیم این گزینه روی حداقل ۱ روز، کاربر در هر ۲۴ ساعت تنها یک‌بار اجازه تغییر رمز خواهد داشت.

۴. Minimum password length (حداقل طول رمز عبور)

تعداد کاراکترهای تشکیل‌دهنده رمز عبور را مشخص می‌کند. در نسخه قدیمی ویندوز سرور، حد مجاز ۱۴ کاراکتر بود. اما با معرفی قابلیت relax minimum password length limits در ویندوز سرور ۲۰۲۲ و ویندوز ۱۱، مدیران شبکه می‌توانند طول رمز عبور را تا ۲۵۶ کاراکتر افزایش دهند تا امکان استفاده از عبارات عبور (Passphrases) به جای رمزهای کوتاه فراهم شود.

آموزش صحیح پیکربندی این موارد در محیط‌های واقعی نیازمند دانش جامع در حوزه زیرساخت مایکروسافت است. شرکت در دوره MCSA: Windows 11 and Windows Server 2022 تمامی ابعاد عملی مدیریت شبکه و سرویس‌های دامین را به شما آموزش می‌دهد.

۵. Password must meet complexity requirements (الزامات پیچیدگی رمز عبور)

با فعال‌سازی این گزینه، هر رمز عبور جدید باید حداقل سه ویژگی از ۴ گروه زیر را داشته باشد:

• حروف بزرگ انگلیسی (A تا Z)

• حروف کوچک انگلیسی (a تا z)

• ارقام پایه ده‌دهی (0 تا 9)

• کاراکترهای غیرالفبایی و خاص (مانند !، $، #، %)

همچنین رمز عبور نباید شامل تمام یا بخشی از نام حساب کاربری (Account Name) یا نام کامل کاربر باشد.

۶. Store passwords using reversible encryption (ذخیره‌سازی با رمزنگاری معکوس)

این گزینه رمزهای عبور را به صورتی ذخیره می‌کند که قابل رمزگشایی معکوس باشند. فعال کردن این حالت تنها برای پروتکل‌هایی مانند CHAP یا Digest Authentication الزامی است و امنیت سیستم را به شدت کاهش می‌دهد؛ بنابراین در حالت عادی باید حتماً غیرفعال (Disabled) بماند.

تعریف پالیسی‌های متفاوت با Fine-Grained Password Policy (FGPP) در اکتیو دایرکتوری

در شبکه‌های مبتنی بر اکتیو دایرکتوری، تنظیمات اعمال‌شده در Default Domain Policy به‌صورت سراسری روی تمامی کاربران دامین اعمال می‌شود. اما در سناریوهای واقعی، حساب‌های کاربری با سطوح دسترسی حساس (مانند مدیران شبکه یا حساب‌های مالی) نیازمند سخت‌گیری بیشتری نسبت به کاربران معمولی هستند. برای رفع این محدودیت، مایکروسافت قابلیت Fine-Grained Password Policy یا FGPP را معرفی کرده است.

با استفاده از این قابلیت، می‌توان بدون نیاز به ایجاد دامین‌های مجزا، چندین سیاست رمز عبور مختلف را از طریق ایجاد Password Settings Objects (PSO) به گروه‌های کاربری خاص یا کاربران مشخص اختصاص داد. مراحل ایجاد یک PSO در ابزار Active Directory Administrative Center (ADAC) به شرح زیر است:

1. کنسول ADAC را باز کرده و به مسیر System > Password Settings Container بروید.

2. از پنل سمت راست روی گزینه New و سپس Password Settings کلیک کنید.

3. نام پالیسی، اولویت (Precedence) و مقادیر مربوط به طول رمز، پیچیدگی و تاریخچه را مشخص کنید.

4. در بخش Directly Applies To، گروه امنیتی مورد نظر (مثلاً Domain Admins) را اضافه کرده و تنظیمات را ذخیره کنید.

در صورتی که چندین پالیسی به یک کاربر اختصاص داده شود، سیستمی که بالاترین اولویت (کمترین عدد در شاخص Precedence) را داشته باشد ملاک عمل خواهد بود.

مراحل عملی پیکربندی و اعمال Password Policy GPO در ویندوز سرور

جهت اطمینان از اعمال صحیح تنظیمات رمز عبور در سطح شبکه، رعایت گام‌های اجرایی و دستورات به‌روزرسانی زیر ضروری است:

1. کنسول مدیریت گروپ پالیسی را با دستور gpmc.msc در ویندوز سرور اجرا کنید.

2. روی شیء Default Domain Policy راست‌کلیک کرده و گزینه Edit را انتخاب کنید.

3. تنظیمات مورد نظر را در مسیر Account Policies -> Password Policy ویرایش کنید.

4. برای اعمال سریع‌تر تغییرات روی سیستم‌های کلاینت یا سرورها، خط فرمان (CMD) را با دسترسی مدیر باز کرده و دستور زیر را اجرا کنید:

gpupdate /force

برای ارزیابی و اطمینان از اینکه کدام پالیسی روی یک رایانه محلی یا کاربر خاص اعمال شده است، می‌توان از ابزار خطی gpresult /r یا کنسول rsop.msc استفاده کرد تا از بروز تداخل‌های ساختاری جلوگیری شود.

عیب‌یابی عدم اعمال تنظیمات و بررسی مسیر رجیستری

یکی از چالش‌های رایج مدیران شبکه، عدم اعمال تغییرات رمز عبور روی سیستم‌ها است. اصلی‌ترین دلیل این مسئله، اعمال پالیسی در سطح یک Organizational Unit (OU) غیر مرتبط است. به یاد داشته باشید که تنظیمات استاندارد Password Policy باید حتماً در سطح ریشه دامین (Domain Root) پیکربندی شوند، مگر آنکه از سیستم FGPP استفاده کنید.

در شرایط خاص، بررسی وضعیت پالیسی‌های امنیتی از طریق رجیستری ویندوز نیز امکان‌پذیر است. مسیر کلیدهای رجیستری مربوط به امنیت حساب‌ها در آدرس زیر قرار دارد:

HKEY_LOCAL_MACHINE\SECURITY\SAM\Domains\Account

به دلیل حساسیت بالای ویرایش دستی رجیستری، توصیه می‌شود هرگونه تغییر در الزامات رمز عبور حتماً از طریق کنسول رسمی Group Policy Editor انجام شود تا ساختار پایگاه داده امنیت سیستم دچار آسیب نشود.

استراتژی‌های نوین امنیت رمز عبور و استانداردهای NIST

سیاست‌های سنتی رمز عبور که کاربران را مجبور به تعویض متوالی و استفاده از کاراکترهای پیچیده و نامفهوم می‌کردند، در سال‌های اخیر بازنگری شده‌اند. طبق استانداردهای ارائه شده در NIST Special Publication 800-63B، الزام کاربران به تغییر مکرر رمز عبور باعث می‌شود آن‌ها از الگوهای قابل پیش‌بینی (مانند اضافه کردن یک عدد به انتهای رمز قبلی) استفاده کنند که این امر ریسک امنیتی را افزایش می‌دهد.

رویکرد جدید امنیت بر استفاده از «عبارات عبور» (Passphrases) طولانی اما قابل به خاطر سپردن تمرکز دارد. برای آشنایی با اصول طراحی کلمات عبور ایمن و کاربردی، مطالعه مقاله چگونه کلمه عبوری پیچیده که راحت در خاطر بماند بسازیم؟ راهکارهای عملی مناسبی ارائه می‌دهد.

علاوه بر این، تحلیل تهدیدات امنیتی و پیاده‌سازی مکانیزم‌های دفاعی شبکه مستلزم یادگیری استانداردهای بین‌المللی است. علاقه‌مندان می‌توانند برای ارتقای دانش تخصصی خود در حوزه زیرساخت و امنیت، به دسته‌بندی دوره‌های CompTIA مراجعه کرده یا در دوره Security+ ثبت‌نام کنند.

جمع‌بندی مدیریت پالیسی رمز عبور شبکه

پیکربندی دقیق تنظیمات Password Policy در ویندوز نقش کلیدی در کاهش سطح حملات سایبری و حفاظت از حساب‌های کاربری در تمامی سازمان‌ها ایفا می‌کند. با ترکیب درست اصول طول عمر رمز، الزام حداقل طول کاراکترها و بهره‌گیری از قابلیت Fine-Grained Password Policy در اکتیو دایرکتوری، مدیران شبکه می‌توانند تعادل پایداری میان امنیت زیرساخت و سهولت کاربری ایجاد نمایند.