এক্টিভ ডিরেক্টরিতে ডোমেইন পাসওয়ার্ড পলিসি কনফিগারেশন

এক্টিভ ডিরেক্টরি ডোমেইনে ইউজার একাউন্টের উচ্চ স্তরের নিরাপত্তা নিশ্চিত করতে অ্যাডমিনিস্ট্রেটরকে ডোমেইন পাসওয়ার্ড পলিসি কনফিগার ও ইমপ্লিমেন্ট করতে হয়। পাসওয়ার্ড পলিসি যথেষ্ট জটিলতা, পাসওয়ার্ড দৈর্ঘ্য, এবং ইউজার ও সার্ভিস একাউন্ট পাসওয়ার্ড পরিবর্তনের ফ্রিকোয়েন্সি প্রদান করা উচিত। এভাবে আপনি অট্যাকারের জন্য ইউজার পাসওয়ার্ড ব্রুট-ফোর্স বা নেটওয়ার্ক経由 ক্যাপচার করা কঠিন করতে পারেন।

ডিফল্ট ডোমেইন পলিসিতে পাসওয়ার্ড পলিসি

ডিফল্টলি, AD ডোমেইনে ইউজার পাসওয়ার্ডের সাধারণ প্রয়োজনীয়তা সেট করার জন্য গ্রুপ পলিসি (GPO) সেটিংস ব্যবহার করা হয়। ডোমেইন ইউজার একাউন্টের পাসওয়ার্ড পলিসি Default Domain Policy-এ কনফিগার করা হয়। এই পলিসি ডোমেইন রুটের সাথে লিঙ্ক করা থাকে এবং PDC এমুলেটর রোল वाले ডোমেইন কন্ট্রোলারের ওপর প্রয়োগ হয়।

1. AD একাউন্ট পাসওয়ার্ড পলিসি কনফিগার করতে Group Policy Management কনসোল (gpmc.msc) খুলুন;
2. আপনার ডোমেইন এক্সপ্যান্ড করুন এবং Default Domain Policy নামে GPO খুঁজুন। রাইট-ক্লিক করে Edit সিলেক্ট করুন;
3. পাসওয়ার্ড পলিসিগুলো নিচের GPO সেকশনে থাকে: Computer configuration → Policies → Windows Settings → Security Settings → Account Policies → Password Policy;
4. একটি পলিসি সেটিং এডিট করতে ডাবল-ক্লিক করুন। নির্দিষ্ট পলিসি সেটিং ইনএবল করতে Define this policy settings চেক করুন এবং প্রয়োজনীয় ভ্যালু স্পেসিফাই করুন (নিচের স্ক্রিনশটে मैंने মিনিমাম পাসওয়ার্ড দৈর্ঘ্য ৮ ক্যারেক্টার সেট করেছি)। পরিবর্তনগুলো সেভ করুন;
5. নতুন পাসওয়ার্ড পলিসি সেটিংস কিছু সময় পর (৯০ মিনিট), কম্পিউটার বুট করার সময়, অথবা gpupdate /force কমান্ড চালিয়ে অবিলম্বে প্রয়োগ করা যাবে।

GPO ম্যানেজমেন্ট কনসোল বা পাওয়ারশেল কামডলেট Set-ADDefaultDomainPasswordPolicy ব্যবহার করে পাসওয়ার্ড পলিসি সেটিংস পরিবর্তন করা যায়:

Set-ADDefaultDomainPasswordPolicy -Identity woshub.com -MinPasswordLength 10 -LockoutThreshold 3

উইন্ডোজে বেসিক পাসওয়ার্ড পলিসি সেটিংস

সকল উপলব্ধ উইন্ডোজ পাসওয়ার্ড সেটিংস বিবেচনা করি। GPO-এ ছয়টি পাসওয়ার্ড সেটিং রয়েছে:

• Enforce password history – AD-এ কতগুলো পুরানো পাসওয়ার্ড সংরক্ষিত থাকবে তা নির্ধারণ করে, যাতে ইউজার পুরানো পাসওয়ার্ড ব্যবহার না করতে পারে। যাহোক, ডোমেইন অ্যাডমিন বা AD-এ পাসওয়ার্ড রিসেট পারমিশন ডেলিগেট করা ইউজার ম্যানুয়ালি একাউন্টের জন্য পুরানো পাসওয়ার্ড সেট করতে পারে;
• Maximum password age – দিনে পাসওয়ার্ড এক্সপিরেশন সেট করে। পাসওয়ার্ড এক্সপায়ার হওয়ার পর উইন্ডোজ ইউজারকে পাসওয়ার্ড পরিবর্তন করতে বলে। ইউজারদের দ্বারা পাসওয়ার্ড নিয়মিত পরিবর্তন নিশ্চিত করে; আপনি পাওয়ারশেল ব্যবহার করে নির্দিষ্ট ইউজারের পাসওয়ার্ড কবে এক্সপায়ার হবে জানতে পারেন: Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}
• Minimum password length – পাসওয়ার্ডে কমপক্ষে ৮ সিম্বল থাকতে হয়ের সুপারিশ করা হয় (এখানে ০ স্পেসিফাই করলে পাসওয়ার্ড বাধ্যতামূলক নয়);
• Minimum password age – ইউজাররা কত часто পাসওয়ার্ড পরিবর্তন করতে পারবে তা সেট করে। এই সেটিং ইউজারকে খুব ঘন ঘন পাসওয়ার্ড পরিবর্তন করে পাসওয়ার্ড হিস্টরি থেকে তাদের পছন্দের পুরানো পাসওয়ার্ড ফিরে আনতে দেয় না। নিয়ম অনুযায়ী এখানে ১ দিন সেট করা উচিত যাতে পাসওয়ার্ড কমপ্রোমাইজ হলে ইউজার নিজে পাসওয়ার্ড পরিবর্তন করতে পারে (অন্যথায় অ্যাডমিনিস্ট্রেটরকে পরিবর্তন করতে হবে);
• Password must meet complexity requirements – পলিসি ইনএবল থাকলে, ইউজার পাসওয়ার্ডে একাউন্ট নাম ব্যবহার করতে পারবে না (রোয়ে ২টি username বা Firstname সিম্বল), পাসওয়ার্ডে ৩ টাইপের সিম্বল ব্যবহার করতে হবে: নম্বর (০-৯), বড় হাতের অক্ষর, ছোট হাতের অক্ষর এবং স্পেশ্যাল ক্যারেক্টার ($, #, %, ইত্যাদি)। এছাড়া, দুর্বল পাসওয়ার্ড (পাসওয়ার্ড ডিকশনারি থেকে) ব্যবহার বাধা দিতে AD ডোমেইনে ইউজার পাসওয়ার্ড নিয়মিত অডিট করার সুপারিশ করা হয়;
• Store passwords using reversible encryption – ইউজার পাসওয়ার্ড AD ডেটাবেসে এনক্রিপ্টেড রূপে সংরক্ষিত থাকে, কিন্তু কিছু কেসে কিছু অ্যাপের জন্য ইউজার পাসওয়ার্ড এক্সেস দিতে হয়। এই পলিসি সেটিং ইনএবল থাকলে পাসওয়ার্ড কম সুরক্ষিত থাকে (প্রায় প্লেইন টেক্সটের মতো)। এটি সুরক্ষিত নয় (অট্যাকার DC কামপ্রোমাইজ করলে পাসওয়ার্ড ডেটাবেস এক্সেস করতে পারে; রিড-অনلي ডোমেইন কন্ট্রোলার (RODC) bảo vệ উপায়ের একট হতে পারে)।

যদি কোনো ইউজার ডোমেইন পাসওয়ার্ড পলিসি মেনে না চলা পাসওয়ার্ড পরিবর্তন করার চেষ্টা করে, তবে এরর মেসেজ আসবে:

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

অতিরিক্তভাবে, নিচের পাসওয়ার্ড সেটিংস Account Lockout Password GPO সেকশনে কনফিগার করা উচিত:

• Account Lockout Threshold – ইউজার ভুল পাসওয়ার্ড দিয়ে কতবার ফেইল্ড সাইন-ইন অটেম্পট করতে পারবে তার আগে তার একাউন্ট লক হয়ে যাবে;
• Account Lockout Duration – ইউজার যদি অনেকবার ভুল পাসওয়ার্ড দেয়, তবে একাউন্ট কতক্ষণ লক থাকবে;
• Reset account lockout counter after – কত মিনিট পর Account Lockout Threshold কাউন্টার রিসেট হবে।

যদি নির্দিষ্ট ডোমেইন একাউন্ট খুব বেশি লক হয়, তবে একাউন্ট লকআউটের সোর্স আইডেন্টিফাই করতে এই মেথড ব্যবহার করুন।

AD ডোমেইনে পাসওয়ার্ড পলিসির ডিফল্ট সেটিংস নিচের টেবিলে দেওয়া হলো:

Security Compliance Toolkit-এ মাইক্রোসফট নিচের পাসওয়ার্ড পলিসি সেটিংস সুপারিশ করে:

• Enforce Password History: 24
• Maximum password age: not set
• Minimum password age: not set
• Minimum password length: 14
• Password must meet complexity: Enabled
• Store passwords using reversible encryption: Disabled

সাম্প্রতিক Security Baseline 1903 সুপারিশে, মাইক্রোসফট নির্দেশ করে যে ইউজারদের জন্য পাসওয়ার্ড এক্সপিরেশন পলিসি ইনএবল করার দরকার নেই। পাসওয়ার্ড এক্সপিরেশন নিরাপত্তা বাড়ায় না, শুধু অনাবশ্যক সমস্যা সৃষ্টি করে।

AD ডোমেইনে বর্তমান পাসওয়ার্ড পলিসি চেক করা

gpmc.msc কনসোলে Default Domain Policy-এ (Settings ট্যাবে) বর্তমান পাসওয়ার্ড পলিসি সেটিংস দেখা যায়।

পাওয়ারশেল ব্যবহার করেও পাসওয়ার্ড পলিসি ইনফরমেশন দেখানো যায় (AD পাওয়ারশেল মডিউল কম্পিউটারে ইনস্টল থাকতে হবে):

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True DistinguishedName: DC=woshub,DC=com LockoutDuration: 00:20:00 LockoutObservationWindow: 00:30:00 LockoutThreshold: 0 MaxPasswordAge: 60.00:00:00 MinPasswordAge: 1.00:00:00 MinPasswordLength: 8 objectClas : {domainDNS} PasswordHistoryCount: 24 ReversibleEncryptionEnabled: False

অতিরিক্তভাবে, যেকোনো ডোমেইন কম্পিউটারে gpresult কমান্ড ব্যবহার করে বর্তমান AD পাসওয়ার্ড পলিসি সেটিংস চেক করা যায়।

এক্টিভ ডিরেক্টরি ডোমেইনে একাধিক পাসওয়ার্ড পলিসি

PDC Emulator FSMO রোলের মালিক ডোমেইন কন্ট্রোলার ডোমেইন পাসওয়ার্ড পলিসি পরিচালনার জন্য দায়বদ্ধ। Default Domain Policy সেটিংস এডিট করতে ডোমেইন অ্যাডমিনিস্ট্রেটর অধিকার দরকার।

প্রাথমিকভাবে, ডোমেইনে শুধু একটি পাসওয়ার্ড পলিসি থাকতে পারে, যা ডোমেইন রুটে প্রয়োগ হয় এবং সব ইউজারকে এক্সেপশন ছাড়া প্রভাবিত করে (কিছু нюআনস রয়েছে, পরে আলোচনা করব)। যদি আপনি ভিন্ন পাসওয়ার্ড সেটিংস সহ একটি নতুন GPO তৈরি করে নির্দিষ্ট OU-তে Enforced এবং Block Inheritance প্যারামিটারসহ প্রয়োগ করেন, তবে এটি ইউজারদের ওপর প্রয়োগ হবena।

ডোমেইন পাসওয়ার্ড পলিসি শুধু ইউজার AD অবজেক্টকে প্রভাবিত করে। কম্পিউটার পাসওয়ার্ড যা ডোমেইন ট্রাস্ট রিলেশনশিপ প্রদান করে, তাদের নিজস্ব GPO সেটিংস রয়েছে।

উইন্ডোজ সার্ভার ২০০৮-এ এক্টিভ ডিরেক্টরি এর আগে, প্রতি ডোমেইন শুধু একটি পাসওয়ার্ড পলিসি কনফিগার করা যেতো। AD-এর nieuwere ভার্সনগুলিতে (Windows Server 2008 থেকে), Fine-Grained Password Policies (FGPP) ব্যবহার করে ভিন্ন ইউজার বা গ্রুপের জন্য একাধিক পাসওয়ার্ড পলিসি তৈরি করা যায়। Grained Password Policies আপনাকে ভিন্ন Password Settings Objects (PSOs) তৈরি ও এনফোর্স করতে দেয়। উদাহরণস্বরূপ, ডোমেইন অ্যাডমিন একাউন্টের জন্য বাড়তি পাসওয়ার্ড দৈর্ঘ্য বা জটিলতা সহ PSO তৈরি করা যায় (AD ডোমেইনে অ্যাডমিনিস্ট্রেটর একাউন্ট সিকিউর করার আর্টিকেল দেখুন), অথবা কিছু একাউন্টের পাসওয়ার্ড আরও সিম্পল বা সম্পূর্ণ ডিজেবল করা যায়।

Workgroup এনভায়রনমেন্টে, প্রতিটি কম্পিউটারে লোকাল GPO এডিটর – gpedit.msc ব্যবহার করে পাসওয়ার্ড পলিসি কনফিগার করতে হয়, অথবা লোকাল GPO পলিসি সেটিংস কম্পিউটারগুলোর মধ্যে ট্রান্সফার করতে এই মেথড ব্যবহার করা যায়।