策略要点
策略要点
长度优先：管理类口令建议 12 位以上并组合字符类型
黑名单：禁用默认口令、弱口令与已泄露口令
锁定：连续失败 5 次锁定并记录告警
初始口令：首次登录强制修改，禁止共用
更换：按合规要求设定周期，泄露或离岗时立即更换不同合规框架对"定期更换"要求不一致，建议在制度中写明依据与例外审批。
口令策略：复杂度、锁定与更换周期
口令策略应覆盖复杂度与长度、登录失败锁定、初始口令强制修改与黑名单；关于定期更换，等保测评关注定期更换要求，行业实践（NIST SP 800-63B）则建议以泄露检测替代强制周期更换，落地时按适用要求执行。
易错点
- 只约束普通用户不约束管理员：管理员口令是检查与攻击重点
- 默认口令未改就上线：设备与服务初始口令应纳入上线检查单
数据来源与参考
- GB/T 22239-2019（身份鉴别要求）
- NIST SP 800-63B