口令策略是什么
口令策略是对口令长度复杂度、有效期、失败锁定、初始口令与黑名单等作出的统一规定，覆盖普通用户、管理员与设备默认账号。策略既要满足等保等合规框架对定期更换的要求，也要避免过度严格导致用户写贴便签、口令复用等反向效果。落地时把依据写进制度、把参数写进系统配置。
基本信息
| 覆盖范围 | 操作系统、数据库、应用、网络设备、云平台与管理后台 |
|---|---|
| 长度要求 | 管理类口令建议 12 位以上并组合多种字符类型 |
| 锁定策略 | 连续失败 5 次锁定并产生告警，锁定周期可配 |
| 初始口令 | 首次登录强制修改，禁止多账号共用 |
| 黑名单 | 禁用默认口令、弱口令与已泄露口令 |
| 更换周期 | 按适用合规要求设定，泄露或人员离岗时立即更换 |
典型使用场景
- 新设备上线前按检查单修改默认口令，避免出厂口令裸奔
- 域环境统一推送口令复杂度与锁定策略，减少逐台配置
- 数据库与中间件账号口令纳入密码管理系统，禁止写在配置注释里
- 人员离职或岗位调整时立即轮换其接触过的共享口令
- 定期用弱口令扫描核查存量账号，锁定长期未改的高权限账号
策略要点
策略要点
长度优先：管理类口令建议 12 位以上并组合字符类型
黑名单：禁用默认口令、弱口令与已泄露口令
锁定：连续失败 5 次锁定并记录告警
初始口令：首次登录强制修改，禁止共用
更换：按合规要求设定周期，泄露或离岗时立即更换不同框架的口径差异
| 框架 | 对定期更换的口径 | 落地建议 |
|---|---|---|
| 等保测评 | 关注定期更换要求是否落实 | 制度中写明周期并留存执行记录 |
| NIST SP 800-63B | 建议以泄露检测替代强制周期更换 | 以泄露监测与事件驱动更换为主 |
| 行业监管要求 | 部分行业另有明确周期规定 | 以行业文件为准并在制度中标注依据 |
| 内部管控 | 高权限账号缩短周期 | 特权账号单独台账、缩短周期并审批 |
不同合规框架对「定期更换」的要求不一致，建议在制度中写明依据与例外审批路径，遇到检查时能解释清楚为什么这样设定。
Linux 侧可用 PAM 的 pwquality 与 faillock 模块集中约束复杂度与锁定；Windows 侧在组策略的账户策略中统一配置，避免各服务器参数不一致。