Lithnet Password Protection for Active Directory (LPP) は、すべての Active Directory アカウントに強力なパスワードを確保したいと考える組織が利用できる選択肢を拡張します。
LPP は Active Directory サーバーにインストールするモジュールで、パスワードフィルターを使用して、ユーザーがパスワードを変更しようとする際にパスワードを検査します。グループポリシーを使用して、それらのパスワードに対して実行するチェックの種類をカスタマイズし、パスワードは拒否されるか、承認されてディレクトリにコミットされます。
LPP は、良いパスワードとは何かについて、あなた自身がコントロールできるようにします。2018 年の NIST パスワード推奨事項を部分的に採用したい場合でも、完全に採用したい場合でも、試行されたパスワード変更に対して以下のチェックを任意に組み合わせて有効にできる、豊富なグループポリシーベースのコントロールを提供します。
- 漏洩したパスワードの使用をブロック。HIBP データセットのインポートを非常に簡単にしましたが、入手できる任意のプレーンテキストパスワードや NTLM ハッシュをインポートすることもできます。
- 特定の単語に基づいてパスワードをブロック。禁止単語を追加すると、その単語をパスワードのベースとして使用できなくなります。たとえば、禁止単語ストアに「password」という単語を追加すると、その単語自体の使用だけでなく、「P@ssw0rd」「pa55word!」「password123456!」といった一般的な変形も防ぎます。LPP は一般的な文字置換や弱い難読化を認識し、正規化プロセスを通じてそれらの使用を防ぎます。
- 長さに基づく複雑さポリシーを定義。たとえば、13 文字未満のパスワードには数字、記号、大文字、小文字を要求しつつ、13 文字以上のパスワードには特別な要件を課さないようにできます。長さに報酬を与え、複雑さを軽減します。
- 正規表現ベースのポリシー。正規表現が好みであれば、パスワードが一致しなければならない (または一致してはならない) 正規表現を定義できます。
- ポイントベースの複雑さ。特定の文字やカテゴリの使用にポイントを割り当て、パスワードが満たすべき最小ポイントしきい値を設定します。
また、ユーザーの既存パスワードを漏洩パスワードリストに対して監査する機能も含まれています。弱いパスワードや既知の漏洩パスワードを発見し、それらのユーザーにパスワード変更を強制できます。
追加機能
- 以下に使用される完全な PowerShell サポート
- haveibeenpwned.com API から漏洩パスワードリストを同期
- 独自の禁止単語や漏洩パスワードの追加、および一般的なサードパーティの単語リストやパスワードリストの使用
- 漏洩ストアに対してパスワードや既存ハッシュをテスト
- AD 内のユーザーの現在のパスワードが漏洩パスワードストアに含まれているかどうかを確認
- パスワードがドメインコントローラーから外部に出ることはありません
- 高いパフォーマンスが要求される大規模環境向けに設計
- 詳細なイベントログを作成
- DFS-R に適したデータストアを使用
- インターネットアクセス不要
- 展開に追加のサーバーは不要
- グループポリシーサポート
システム要件
LPP は Windows の x64 エディションでのみサポートされています
パスワードフィルター
PowerShell モジュール
エンタープライズサポート
Lithnet Password Protection は無料のオープンソースですが、ドメインコントローラーにサードパーティのコードを展開することは、安全網があると有利な決断であると理解しています。
エンタープライズサポート契約により、組織は Lithnet エンジニアリングチームに直接アクセスして、トラブルシューティング、構成ガイダンス、優先的な問題解決を受けることができます。
サポート見積もりを依頼する →
コミュニティサポートは GitHub Issues から利用できます。
はじめに
リリースページからインストーラーをダウンロードしてください
ドキュメントサイトのはじめにガイドをお読みください。
プロジェクトに貢献するには?
- 問題を発見して修正してほしいですか? 報告してください
- 自分で問題を修正したり機能を追加したりしたいですか? プロジェクトをクローンしてプルリクエストを送信してください
最新情報を入手
謝辞
lithnet/ad-password-protection
