Minimale Passwortlänge: Default Domain Policy versus Set-ADDefaultDomainPasswordPolicy

In Windows-Domänen ließ sich eine derartige Richtlinie mit einer Fine-grained Password Policy auch schon bisher umsetzen. Eine solche lässt sich aber nicht einer OU oder Domäne zuweisen, sondern nur an Sicherheits­gruppen im Active Directory.

Um die Anforderungen an Kennwörter flächen­deckend zu definieren, enthält in den meisten Umgebungen die Default Domain Policy entsprechende Einstellungen. Möchte man im GPO-Editor dort den Wert für die minimale Passwort­länge hochsetzen, dann war bisher bei 14 Zeichen Schluss.

Aktiviert man hingegen die mit Windows 10 2004 hinzugekommene Einstellung Kennwort­längen­beschränkung lockern, dann lässt der Gruppen­richtlinien­verwaltungs-Editor einen Wert bis maximal 128 Zeichen zu.

Limit von 14 bleibt für ältere OS-Versionen

Wenn man das GPO danach auf einer älteren Version von Windows erneut bearbeitet, dann gilt wieder das gewohnte Limit von 14 Zeichen, selbst wenn man die Einstellung zuvor auf einen höheren Wert hochgesetzt hat.

Die Richtlinie für längere Kennwörter greift aber nichts­destotrotz auch auf älteren Systemen, so dass Benutzer sie bei einem Wechsel des Passworts einhalten müssen.

MinPasswordLength mit PowerShell setzen

Noch verwirrender wird die Situation, wenn man die standard­mäßige Passwort­richtlinie für die Domäne mit dem Cmdlet Set-ADDefaultDomainPasswordPolicy ändert. Auch hier lässt sich ein höherer Wert als 14 einstellen:

Set-ADDefaultDomainPasswordPolicy -MinPasswordLength 16 -Identity contoso.de

Erwartungsgemäß zeigt in diesem Beispiel ein Aufruf von

Get-ADDefaultDomainPasswordPolicy

für MinPasswordLength die Zahl 16.

Das gilt aber auch für den GPO-Editor, der beim erneuten Laden des Gruppen­richtlinien­objekts diesen Wert enthält. Mehr als 14 Zeichen konfigurieren kann er aber wieder nur in Windows 10 2004 mit aktivierter Einstellung Kennwort­längen­beschränkung lockern.

Daraus könnte man den Schluss ziehen, dass die neue Richtlinie nur dazu dient, den GPO-Editor in die Lage zu versetzen, eine Mindestlänge für Kennwörter von mehr als 14 Zeichen zu konfigurieren.

Auditing der Passwortlänge

Eine weitere neue Einstellung im aktuellen Release von Windows 10 namens Überwachung der Mindest­passwortlänge veranlasst, dass das System Ereignisse im Zusammenhang mit längeren Kennwörtern mitschreibt. In ihrer Einstellung heißt es:

Wenn diese Einstellung definiert und größer als die minimale Passwortlänge ist und die Länge eines neuen Konto­passworts kleiner als diese Einstellung ist, wird ein Überwachungs­ereignis ausgegeben.

Die entsprechenden Einträge finden sich im System-Log, man kann sie mittels PowerShell so auslesen:

Get-WinEvent -ProviderName Microsoft-Windows-Directory-Services-SAM

Hat man mit PowerShell einen Wert größer als 14 konfiguriert, aber unter Windows 10 2004 die neue Einstellung für längere Kennwörter nicht aktiviert, dann findet sich unter der ID 16979 folgende Meldung:

Die Domäne ist falsch konfiguriert mit einer MinimumPasswordLength-Einstellung, die größer als 14 ist, während RelaxMinimum­Password­LengthLimits entweder undefiniert oder deaktiviert ist.

HINWEIS: Bis dies korrigiert ist, erzwingt die Domäne die kleinere MinimumPasswordLength-Einstellung 14.

In der Praxis stellte sich jedoch heraus, dass Windows beim Wechsel des Passworts weiterhin die Minimallänge erwartete, die in der Default Domain Password Policy eingetragen und größer war als 14. Die neue Richtlinie scheint mithin keine Voraussetzung dafür zu sein, längere Passwörter über die Default Domain Password Policy zu erzwingen.