Windows Server 2008 精細密碼原則：針對特定用戶/群組實施差異化密碼與鎖定設定

Windows Server 2008 AD DS 引入「精細密碼原則」，打破單一網域只能套用一組密碼原則的限制，可針對特定使用者或全域安全群組套用不同的密碼複雜度、長度、存留期與鎖定原則。

核心概念

• Password Settings Object (PSO)：儲存密碼設定的容器，位於 CN=Password Settings Container,CN=System,DC=domain,DC=com。
• 優先權：msDS-PasswordSettingsPrecedence 值越小優先權越高，直接連結用戶的 PSO 優先於群組連結。
• 套用對象：僅支援「使用者」或「全域安全群組」，**不支援 OU**。

使用 ADSI Edit 建立 PSO 步驟

1. 以網域管理員執行 adsiedit.msc，連線至「預設命名內容」。
2. 展開至 CN=Password Settings Container,CN=System → 右鍵 →「新增」→「物件」→ 選 msDS-PasswordSettings。
3. 命名（如 PSO_AdminStrict）。
4. 依序設定屬性（對應群組原則設定）：

5. 完成建立 PSO 物件。

將 PSO 套用至目標群組/用戶

1. ADSI Edit 中雙擊剛建立的 PSO → 屬性 → msDS-PSOAppliesTo →「編輯」。
2. 「新增」→ 輸入目標全域安全群組名稱（如 G_Admin_Strict）→ 確定。

驗證與注意事項

• 重設該群組用戶密碼測試，觀察是否套用新複雜度/長度要求。
• 用戶若屬多個套用 PSO 的群組，以優先權最低（數值最小）者為準。
• RSOP (rsop.msc) 可檢視用戶實際生效的密碼原則來源。
• 建議先在測試環境驗證，避免鎖定管理員帳號。