Lithnet Password Protection for Active Directory (LPP) は、組織が全てのActive Directoryアカウントに強力なパスワードを確実に設定できるようにするためのオプションを強化します。
LPP は Active Directory サーバーにインストールするモジュールで、パスワードフィルター を使用して、ユーザーがパスワードを変更しようとする際に検査します。グループポリシーを使用して、それらのパスワードに対して実行するチェックの種類をカスタマイズし、拒否または承認され、ディレクトリにコミットされます。
LPP を使用すると、自分にとって適切なパスワードとは何かを管理できるようになります。2018 年の NIST パスワード推奨事項を部分的に採用するか、全面的に採用するかにかかわらず、試行されたパスワード変更に対して以下のチェックの任意の組み合わせを有効にできる、豊富なグループポリシーベースの制御機能が提供されます。
- 侵害されたパスワードの使用をブロック。HIBP データセットのインポートが非常に簡単になりましたが、入手可能なプレーンテキストのパスワードや NTLM ハッシュもインポートできます。
- 特定の単語に基づくパスワードをブロック。禁止単語を追加すると、それがパスワードのベースとして使用されるのを防ぎます。たとえば、禁止ワードストアに「password」という単語を追加すると、その単語自体の使用だけでなく、「P@ssw0rd」「pa55word!」「password123456!」などの一般的なバリエーションの使用も防ぎます。LPP は一般的な文字置換や脆弱な難読化を認識し、正規化プロセスを通じてそれらの使用を防ぎます。
- 長さに基づく複雑性ポリシーを定義。たとえば、13 文字未満のパスワードには数字、記号、大文字、小文字を必須にし、13 文字以上のパスワードには特別な要件を課さないようにできます。長さに報酬を与え、複雑性を緩和します。
- 正規表現ベースのポリシー。正規表現を活用する場合は、パスワードが一致する（または一致しない）正規表現を定義できます。
- ポイントベースの複雑性。特定の文字やカテゴリの使用にポイントを割り当て、パスワードが満たす必要のある最小ポイントしきい値を設定します。
さらに、侵害されたパスワードリストに対してユーザーの既存パスワードを監査する機能も含まれています。脆弱で既知の侵害されたパスワードを特定し、それらのユーザーにパスワード変更を強制できます。
追加機能
- 完全な PowerShell サポート。以下に使用されます。
- haveibeenpwned.com API から侵害パスワードリストを同期
- 独自の禁止ワードや侵害パスワードの追加、および人気のサードパーティ製ワード/パスワードリストの使用
- 侵害ストアに対するパスワードと既存ハッシュのテスト
- AD 内のユーザーの現在のパスワードが侵害パスワードストアにあるかどうかの確認
- パスワードがドメインコントローラから外部に出ることはありません
- 高いパフォーマンスが要求される大規模環境向けに設計
- 詳細なイベントログを作成
- DFS-R 対応のデータストアを使用
- インターネットアクセスは不要
- デプロイに追加のサーバーは不要
- グループポリシーサポート
システム要件
LPP は Windows の x64 エディションでのみサポートされています
パスワードフィルター
PowerShell モジュール
エンタープライズサポート
Lithnet Password Protection は無料のオープンソースですが、サードパーティのコードをドメインコントローラに展開するには、セーフティネットの恩恵を受ける決断が必要であることを理解しています。
エンタープライズサポート契約により、組織は Lithnet のエンジニアリングチームに直接アクセスし、トラブルシューティング、構成ガイダンス、優先的な問題解決を受けることができます。
サポートの見積もりをリクエスト →
コミュニティサポートは GitHub Issues からご利用いただけます。
はじめに
リリースページ からインストーラーをダウンロードしてください。
ドキュメントサイトのはじめにガイド をお読みください。
プロジェクトへの貢献方法
- 問題を見つけて修正してほしい場合は、報告してください
- 自分で問題を修正したり、機能を追加したい場合は、プロジェクトをクローンしてプルリクエストを送信してください
最新情報を入手
謝辞
lithnet/ad-password-protection
