U ranijim verzijama aktivnog direktorijuma, Account polise koje su se odnosile na domen (Domain-based Account Policies) su morale da budu konfigurisane u Default Domain Policy GPO. Kao rezultat, svaki korisnik unutar domena je primoran da ima iste polise lozinki i polise za zaključavanje naloga. Na primer, možda ćemo imati grupu korisnika (kao što je na primer grupa Domain Administrators) koji zahtevaju striktnije polise za lozinke od normalnih domenskih korisnika. Ranije implementacije aktivnog direktorijuma nudile su veoma minimalne opcije za adresiranje zahteva ovog tipa.
Windows Server 2008 Active Directory Domain Services predstavljaju novo poboljšanje koje se naziva Fine-Grained Password Policies. Administratori mogu da koriste ovu karakteristiku kada žele da odrede različite polise za lozinke i polise za zaključavanje naloga različitim korisnicima ili sigurnosnim grupama unutar istog domena. Sada, administratori imaju mogućnost da primene striktne polise lozinki za osetljive sigurnosne grupe ili korisnike, a da pritom ne moraju da modifikuju lozinke ili postavke za zaključavanje naloga za standardne korisnike.
Da bismo implementirali Fine-grained polise lozinki, veoma je važno biti oprezan i imati na umu sledeće:
Zato je veoma važno napraviti dokumentovani plan koji odgovara na sledeća pitanja:
Da bi podržao Fine-Grained Password Policy karakteristiku, Windows Server 2008 aktivni direktorijum uključuje dva dodatna tipa objekata (Object types):
Možemo da koristimo Active Directory Services Interfaces Editor (ADSI Edit) koji predstavlja grafički Interface u kom ćemo kreirati PSOs. Takođe, možemo da koristimo Ldifde komandu kao način skriptovanja pomoću kog možemo da dodamo višestruke PSOs u Password Setting kontejner.
Kreiranje i konfiguracija PSO koristeći ADSI Edit:
1. Otvorimo ADSI Edit kroz MMC konzolu ili Start>Admiinistrative tools> ADSI Edit i konektujemo se na FQDN domen u kom želimo da kreiramo PSO (Slike 1 i 2).
Slika 1
Slika 2
2. Pretražujemo do DC=<ime_domena>\CN=System\CN=Password Setting Container (Slika 3).
Slika 3
3. Desni klik na CN=Password Settings Container, pa zatim New i kliknemo na Object (Slika 4).
Slika 4
4. U Create Object boksu, moramo da proverimo da li je selektovan msDC- PasswordSettings i kliknemo na Next (Slika 5).
Slika 5
5. Upišemo odgovarajuće iznose za svaki atribut.
6. Modifikujemo Properties klikom na More Attributes dugme.
Moguće je za korisnika i za sigurnosnu grupu da ima više od jednog PSO koji je povezan na njih. Ovo može da se dogodi ako je korisnik član više od jedne sigurnosne grupe, a svaka od tih grupa ima dodeljeni PSO ili ako User objekat ima više direktno dodeljenih PSOs. U ovom slučaju, veoma je važno shvatiti da samo jedan PSO može da se primenjuje preko efetivne polise lozinki. Kada je više PSOs dodeljeno korisniku ili grupi, atribut pod imenom msDS- -PasswordSettingsPrecendence pomaže nam da odredimo rezultat PSO. PSO sa nižim iznosom ima prednost u odnosu na PSO koji poseduje viši iznos atributa.
Sledeći proces opisuje kako se određuje rezultat PSO-a kada su višestruki PSOs povezani na grupu ili korisnika:
Svi korisnici sadrže novi atribut pod imenom msDS-ResultantPSO. Ovaj atribut se može koristiti kao pomoć pri određivanju Distinguished imena PSO-a koji se primenjuje na korisnika. Ako ne postoji nijedan PSO objekat koji je povezan na korisnika, ovaj atribut neće sadržati iznos i GPO Defoltne domenske polise će sadržati efetivnu polisu lozinki (Effective Password Policy).
Možemo da iskorstimo dva metoda da bismo videli msDS-ResultantPSO atribut: