Lithnet Password Protection for Active Directory (LPP) 为希望确保其所有 Active Directory 账户都拥有强密码的组织提供了更多选择。

LPP 是一个安装在 Active Directory 服务器上的模块，它使用密码筛选器在用户尝试更改密码时检查密码。通过组策略，您可以自定义要对这些密码执行的检查类型，密码要么被拒绝，要么被批准并提交到目录。

LPP 让您能够掌控什么才算是好密码。无论您是想部分还是完全采用 2018 年 NIST 密码建议，它都提供了一套丰富的基于组策略的控制措施，允许您对尝试的密码更改启用以下任意组合的检查。

阻止使用已泄露的密码。我们让导入 HIBP 数据集变得非常简单，但您也可以导入任何您能获取到的明文密码或 NTLM 哈希。
基于特定单词阻止密码。添加禁用词可防止其被用作密码的基础。例如，将单词 'password' 添加到禁用词库中，不仅会阻止使用该单词本身，还会阻止常见变体，如 'P@ssw0rd'、'pa55word!' 和 'password123456!'。LPP 了解常见的字符替换和弱混淆，并通过规范化过程阻止其使用。
基于长度定义复杂性策略。例如，您可以要求少于 13 个字符的密码包含数字、符号、大写和小写字母，但对 13 个字符或更长的密码没有特殊要求。以更低的复杂性奖励长度。
基于正则表达式的策略。如果您喜欢正则表达式，可以定义密码必须匹配（或不匹配）的正则表达式。
基于分数的复杂性。为使用特定字符和类别分配分数，并设置密码必须达到的最低分数阈值。

它还包含根据已泄露密码列表审核用户现有密码的功能。您将能够发现弱密码和已知的已泄露密码，并强制这些用户更改其密码。

其他功能

完整的 PowerShell 支持，用于：
- 从 haveibeenpwned.com API 同步已泄露密码列表
- 添加您自己的禁用词和已泄露密码，以及使用流行的第三方单词和密码列表
- 针对已泄露密码库测试密码和现有哈希
- 检查用户当前在 AD 中的密码是否存在于已泄露密码库中
密码永远不会离开域控制器
专为需要高性能的大型环境而设计
创建详细的事件日志
使用对 DFS-R 友好的数据存储
无需互联网访问
部署无需额外服务器
组策略支持

系统要求

LPP 仅在 Windows 的 x64 版本上受支持

Lithnet Password Protection 是免费且开源的，但我们理解在您的域控制器上部署第三方代码这一决定，若有安全保障将更为稳妥。

企业支持协议让您的组织可以直接联系 Lithnet 工程团队，获得故障排除、配置指导和优先问题解决服务。

社区支持可通过 GitHub Issues 获得。

从发布页面下载安装程序

阅读我们文档站点上的快速开始指南。