Windows Server 2025 / Configurer une stratégie de mot de passe affinée et le verrouillage

La stratégie de mot de passe du domaine définit les règles communes de mot de passe et de verrouillage de compte. Pour appliquer des règles différentes à un groupe d'utilisateurs, créez une stratégie de mot de passe affinée (Fine-Grained Password Policy, FGPP) : lier un objet de stratégie de groupe (GPO) ordinaire à leur unité d'organisation (OU) ne crée pas une stratégie de mot de passe de domaine propre à cette OU.

Distinguer la stratégie du domaine et la stratégie affinée

Une FGPP repose sur un objet de paramètres de mot de passe (Password Settings Object, PSO). Cet exercice conserve la stratégie par défaut du domaine et vise un groupe de sécurité global réservé au laboratoire. Le niveau fonctionnel du domaine doit être Windows Server 2012 ou ultérieur ; par défaut, la création exige l'appartenance au groupe Domain Admins, sauf délégation appropriée. Selon la documentation Microsoft sur les stratégies de mot de passe affinées, les cibles possibles sont les utilisateurs et les groupes de sécurité globaux, mais pas directement les OU.

Get-ADDefaultDomainPasswordPolicy
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADFineGrainedPasswordPolicy -Filter *

Si un autre PSO s'applique déjà, vérifiez la stratégie résultante avant d'en créer un. En cas de conflit, une valeur numérique de précédence plus faible donne une priorité plus élevée ; ne supposez pas que la valeur 100 remportera toujours la comparaison.

Choisir des comptes de laboratoire et des valeurs d'exemple

Utilisez le groupe GG_LabUsers et le compte ordinaire labuser1 dans le domaine de laboratoire ad.example.test. Excluez les comptes privilégiés, les comptes de service et les comptes réels. Les valeurs suivantes servent uniquement à observer le fonctionnement de la stratégie ; elles ne constituent pas une recommandation universelle pour une organisation :

Dans un environnement réel, choisissez ces valeurs selon les moyens de détection, l'authentification multifacteur, le type de compte et les procédures de récupération. Un seuil de verrouillage trop bas peut gêner les utilisateurs ou faciliter un déni de service. La longueur du mot de passe et son expiration ne suffisent pas à décrire la protection du compte.

Créer et attribuer le PSO

Sur DC1 ou sur un poste d'administration équipé du module Active Directory pour PowerShell, utilisez un compte doté des autorisations requises. Vérifiez que le nom Lab-Password-Policy n'existe pas déjà et que GG_LabUsers contient bien labuser1. La référence de New-ADFineGrainedPasswordPolicy décrit les paramètres employés :

$policyParameters = @{
    Name = 'Lab-Password-Policy'
    Precedence = 100
    MinPasswordLength = 14
    ComplexityEnabled = $true
    PasswordHistoryCount = 5
    MinPasswordAge = (New-TimeSpan -Days 0)
    MaxPasswordAge = (New-TimeSpan -Days 30)
    LockoutThreshold = 5
    LockoutDuration = (New-TimeSpan -Minutes 15)
    LockoutObservationWindow = (New-TimeSpan -Minutes 15)
    ReversibleEncryptionEnabled = $false
}
New-ADFineGrainedPasswordPolicy @policyParameters
Add-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'

Dans l'interface graphique, ouvrez le Centre d'administration Active Directory, puis le domaine → System → Password Settings Container. Créez le PSO, associez-le à GG_LabUsers et consultez la stratégie résultante de labuser1. Les libellés des dossiers peuvent varier selon la langue de l'interface. N'exécutez pas également le script si vous avez déjà créé le même PSO dans l'interface.

Tester la règle lors d'un changement de mot de passe

Modifier la stratégie n'allonge pas rétroactivement un mot de passe existant. Vérifiez d'abord que le PSO attendu s'applique à labuser1, puis, sur CLIENT1, ouvrez une session avec ce compte et utilisez l'interface habituelle de changement de mot de passe. Essayez une valeur qui ne satisfait pas la longueur minimale, puis une valeur conforme : la première doit être refusée et la seconde acceptée, sous réserve des autres règles en vigueur. Ne placez aucun mot de passe dans les journaux ni dans les captures d'écran.

Ne multipliez pas les essais erronés sur un compte administrateur pour démontrer le verrouillage. Si le compte de laboratoire se verrouille à répétition, cherchez d'abord des identifiants obsolètes dans les tâches, les services et les connexions enregistrées, puis vérifiez son état :

Get-ADUser -Identity 'labuser1' -Properties LockedOut,PasswordLastSet | Select-Object SamAccountName,LockedOut,PasswordLastSet

Un déverrouillage ne supprime pas la cause des échecs répétés. Identifiez la source des tentatives, corrigez-la et ne déverrouillez ensuite que le compte concerné ; n'assouplissez pas la stratégie pour contourner le problème.

Retirer l'affectation et vérifier la stratégie de repli

À la fin de l'exercice, retirez uniquement l'association du groupe de laboratoire :

Remove-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADDefaultDomainPasswordPolicy

Si aucun autre PSO ne s'applique, la stratégie par défaut du domaine redevient effective ; la commande qui affiche le PSO résultant peut alors ne rien renvoyer. Retirer l'affectation ne restaure pas l'ancien mot de passe : conservez le nouveau mot de passe valide en sécurité. Avant de supprimer l'objet PSO lui-même, vérifiez qu'aucune autre cible ne l'utilise ; vous pouvez aussi le laisser sans cible pour un prochain laboratoire.