Windows Server 2008 Active Directory 改進：細緻密碼原則 (PSO) 同一網域多套密碼規則實作

Windows Server 2008 引入「細緻密碼原則」(Fine-Grained Password Policies, FGPP)，透過密碼設定物件 (PSO) 讓同一網域內不同使用者群組套用不同密碼/鎖定規則，解決舊版僅能靠密碼過濾器或多網域的困境。

核心概念

• 適用對象：使用者物件、inetOrgPerson、全域安全性群組 (不可直接套用至 OU，需用「影子群組」對應)。
• 預設僅 Domain Admins 可設定，可委派他人。
• 網域功能等級必須為 Windows Server 2008。

AD 架構新增兩類物件

9 項屬性缺一不可，多個 PSO 設定不合併。

PSO 範圍與優先權

• msDS-PSOAppliesTo (正向連結) 指定套用對象 (多值)。
• msDS-PSOApplied (反向連結) 記錄在使用者/群組上。
• 同一使用者套用多個 PSO 時，優先權數值越小越優先 (如 10 優於 20)。

透過 ADSI Edit 建立 PSO 步驟

1. 執行 adsiedit.msc (首次需連線至目標網域 FQDN)。
2. 展開：Domain → DC=domain → CN=System → CN=Password Settings Container。
3. 右鍵 → 新增 → 物件 → 選 msDS-PasswordSettings。
4. 輸入 PSO 名稱 → 依精靈填入 9 項屬性值 (時間屬性以 100-nanosecond intervals 為單位，負值表示)。
   時間換算表：
   分鐘: -60 * 10^7 | 小時: -3600 * 10^7 | 天: -86400 * 10^7
5. 完成精靈後，右鍵 PSO → 內容 → 屬性編輯器 → msDS-PSOAppliesTo → 新增目標使用者/群組的相對辨別名稱 (RDN)。

屬性範例值

FGPP 讓企業能對特權帳號施以嚴格策略，一般帳號則維持較寬鬆設定，兼顧安全與使用體驗。