其其网文档中心

首页/安全/安全加固速查/细粒度密码策略（PSO）为特权账号加严
安全加固速查
口令与认证策略55 条
查看全部 363 条 →

细粒度密码策略（PSO）为特权账号加严

域内可给 Domain Admins 等特权组单独下发 PSO：更长的口令、更短的期限、更严的锁定，普通用户不受影响。

安全加固速查安全更新于 2026-10-12
加固项特权账号口令
适用平台AD（2008 域功能级别+）
风险等级中
基线特权组口令强度高于域默认

创建 PSO

创建 PSO
New-ADFineGrainedPasswordPolicy -Name 'Privileged-Accounts' -Precedence 10 `
  -MinPasswordLength 20 -PasswordHistoryCount 24 -MaxPasswordAge '60.00:00:00' `
  -LockoutThreshold 5 -LockoutDuration '00:30:00' -ComplexityEnabled $true
Add-ADFineGrainedPasswordPolicySubject -Identity 'Privileged-Accounts' -Subjects 'Domain Admins'

核查生效

核查生效
Get-ADUserResultantPasswordPolicy -Identity 'admin1'
Get-ADFineGrainedPasswordPolicy -Filter * | Select-Object Name, Precedence, MinPasswordLength
PSO 优先级数字越小越优先；给“受保护用户”组反向排除时用 precedence 组合，避免把应急账号锁死。

易错点

  • PSO 只对用户对象生效：服务账号用 gMSA 时不受 PSO 约束
  • 优先级冲突要用 Get-ADUserResultantPasswordPolicy 实测，不要靠推演

数据来源与参考

  • Microsoft Learn：Fine-Grained Password Policies
  • Microsoft：Admin Tier 模型

相关工具

基线加固清单在线工具等保 2.0 控制项自查在线工具HTTP 安全响应头检测在线工具弱口令自查在线工具日志留存自查在线工具CSP 安全策略生成在线工具SSL/TLS 证书检测在线工具SSL 自签证书生成器在线工具

继续搜索

常用关键词：3389tracerouteiptables子网掩码docker

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌