Cómo configurar políticas de contraseñas en dominios de Active Directory

Gestionar las políticas de contraseñas en Active Directory no es precisamente una ciencia exacta, pero a veces parece que Windows ha añadido algunos acertijos adicionales para mantenerte alerta. Si los usuarios tienen problemas al restablecer contraseñas, o si simplemente quieres reforzar la seguridad sin quedarte bloqueado cada dos segundos, comprender y ajustar estas políticas es clave. Esta guía explica algunos métodos probados para configurar, revisar y administrar tus reglas de contraseña de AD; porque, seamos sinceros, una política de contraseñas sólida mantiene a raya a los hackers y a los administradores de sistemas cuerdos.

Cómo solucionar las políticas de contraseñas de Active Directory que realmente funcionan

Configuración de las opciones de contraseña en la política de dominio predeterminada

La mayoría de las veces, la configuración de contraseñas se controla mediante la Directiva de Dominio Predeterminada. Necesitará acceder a la Consola de Administración de Directivas de Grupo ( gpmc.msc ), una herramienta de administración instalada por defecto en la mayoría de los servidores. Si no está disponible, es posible que deba instalar la función de Administración de Directivas de Grupo. Una vez abierta:

• Vaya a Bosque > Dominios > su nombre de dominio.
• Haga clic derecho en Política de dominio predeterminada y seleccione Editar.

Desde allí, vaya a:

Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Password Policy

Aquí es donde ocurre la magia. Verás seis configuraciones clave, como la longitud mínima, la complejidad y el historial de contraseñas. Para modificar cualquiera de ellas, simplemente haz doble clic y configura las opciones. Por ejemplo, si quieres que las contraseñas tengan al menos 8 caracteres, simplemente establece la Longitud mínima de la contraseña en 8. Recuerda que, después de realizar los cambios, deberás forzar una actualización de la directiva de grupo en tus controladores de dominio con:

gpupdate /force

En algunas configuraciones, la nueva configuración puede tardar un poco en propagarse. Reiniciar o actualizar la GP en los equipos cliente puede acelerar el proceso. Una vez actualizada, todos los usuarios deberán cumplir con las nuevas reglas.

Comprensión de la configuración de la política de contraseñas en AD

Las seis configuraciones principales controlan la seguridad de las contraseñas y la frecuencia con la que los usuarios las cambian. A continuación, se detalla la función de cada una:

• Forzar historial de contraseñas : Evita que los usuarios reciclen contraseñas antiguas. De forma predeterminada, está configurado para recordar 24 contraseñas anteriores, por lo que los usuarios no pueden reutilizar las recientes.
• Vigencia máxima de la contraseña : Frecuencia con la que caducan las contraseñas (por ejemplo, cada 42 días de forma predeterminada).Al alcanzar esta edad, Windows solicita una nueva.
• Longitud mínima de la contraseña : impone una longitud, normalmente 8 caracteres, para evitar contraseñas muy débiles.
• Duración mínima de la contraseña : Tiempo que los usuarios pueden cambiar su contraseña de nuevo. Evita que los usuarios cambien las contraseñas rápidamente para burlar el sistema.
• La contraseña debe cumplir con los requisitos de complejidad : Exige que las contraseñas incluyan números, mayúsculas, minúsculas y caracteres especiales. Ayuda a bloquear las contraseñas basadas en diccionario.
• Almacenar contraseñas usando cifrado reversible : generalmente desactivado, porque ¿quién quiere contraseñas almacenadas de una manera que sea fácil para el malware o los piratas informáticos obtenerlas?

Cuando un usuario intenta establecer una contraseña débil o no compatible, obtendrá algo como: «No se puede actualizar la contraseña. El valor proporcionado para la nueva contraseña no cumple con los requisitos de longitud, complejidad o historial del dominio».

De forma predeterminada, la configuración de la política suele verse así:

Uso de PowerShell para ver y cambiar políticas de contraseñas

Si prefieres la línea de comandos, PowerShell es ideal. El Get-ADDefaultDomainPasswordPolicycmdlet es muy útil para comprobar la configuración actual:

Get-ADDefaultDomainPasswordPolicy

Esto muestra las políticas actuales, como la antigüedad máxima, la longitud mínima y si la complejidad está habilitada. Si desea cambiar algo (por ejemplo, aumentar la longitud mínima de la contraseña a 10), puede hacerlo con:

Set-ADDefaultDomainPasswordPolicy -Identity "yourdomain.com" -MinPasswordLength 10

Nota: Debe ejecutar PowerShell como administrador con el módulo de Active Directory importado. A veces, ejecutarlo net accountsen el símbolo del sistema ofrece un vistazo rápido a las políticas de contraseñas locales, pero para asuntos de todo el dominio, PowerShell o GPMC son mejores.

Políticas de contraseñas de grano fino (FGPP): porque no hay una solución única para todos

Aquí es donde la cosa se pone interesante. Las GPO estándar aplican una única política a todo el dominio. Si quieres reglas diferentes para cada grupo (como más estrictas para administradores o más flexibles para contratistas), tendrás que usar políticas de contraseñas específicas ( más información aquí ).

Para configurarlos:

1. Abra el Centro administrativo de Active Directory (ejecutar dsac.exe).
2. Vaya a Sistema > Contenedor de configuración de contraseña.
3. Cree un nuevo objeto de configuración de contraseña y asígnelo a usuarios o grupos específicos.

Comprueba qué políticas se aplican a un usuario con Get-ADUserResultantPasswordPolicy -Identity username. Curiosamente, este comando muestra qué se les aplica efectivamente según los distintos FGPP.

Y, como siempre, algunas configuraciones podrían requerir un poco de paciencia para surtir efecto. Reinicie, ejecute [ gpupdate /forceo simplemente espere al siguiente ciclo de replicación del dominio].Porque Windows, por supuesto, tiene que complicarlo más de lo necesario.

Resumen

A estas alturas, esas políticas de contraseñas deberían ser mucho más claras y fáciles de gestionar. Ya sea mediante la interfaz gráfica de usuario, PowerShell o ajustando las políticas para diferentes grupos, es crucial asegurarse de que las contraseñas no sean solo una broma. Recuerde que se trata de equilibrar la seguridad con la usabilidad. Las contraseñas seguras son inútiles si los usuarios salen de la oficina y las olvidan al instante.

Resumen

• Verifique y ajuste sus políticas de contraseña de AD usando gpmc.msc o PowerShell, lo que mejor se adapte a su estilo.
• Recuerde actualizar los GPO para gpupdate /forceenviar cambios.
• Utilice políticas de contraseñas específicas si necesita configuraciones diferentes para distintos grupos.
• Pruebe la nueva configuración con una o dos cuentas de usuario antes de implementarla ampliamente.

Cruzo los dedos para que esto ayude.

Administrar las políticas de contraseñas de Active Directory no siempre es sencillo, pero con los ajustes adecuados, es manejable. Esperamos que este breve curso intensivo le ahorre horas descifrando la configuración predeterminada o intentando acertar.¡Mucha suerte y manténgase seguro!