Windows Server 2025 / Configurar política de senha refinada e bloqueio de conta

A política de senha do domínio define as regras comuns de senha e bloqueio de contas. Para aplicar regras diferentes a um grupo de usuários, crie uma política de senha refinada (Fine-Grained Password Policy, FGPP): vincular um objeto de Política de Grupo (GPO) comum à unidade organizacional (OU) desses usuários não cria uma política de senha de domínio exclusiva para a OU.

Distinguir a política do domínio da política refinada

Uma FGPP usa um objeto de configurações de senha (Password Settings Object, PSO). Este exercício preserva a política padrão do domínio e usa um grupo de segurança global reservado ao laboratório. O nível funcional do domínio precisa ser Windows Server 2012 ou superior; por padrão, a criação requer associação ao grupo Domain Admins, salvo delegação adequada. A documentação da Microsoft sobre políticas de senha refinadas confirma que os alvos podem ser usuários e grupos de segurança globais, mas não uma OU diretamente.

Get-ADDefaultDomainPasswordPolicy
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADFineGrainedPasswordPolicy -Filter *

Se outro PSO já se aplicar, verifique a política resultante antes de criar outro. Em caso de conflito, o menor número de precedência tem prioridade maior; não presuma que o valor 100 sempre prevalecerá.

Escolher contas de laboratório e valores de exemplo

Use o grupo GG_LabUsers e a conta comum labuser1 no domínio de laboratório ad.example.test. Exclua contas privilegiadas, contas de serviço e contas reais. Os valores abaixo servem para observar o funcionamento da política; não representam uma recomendação universal para uma organização:

Em produção, escolha os valores conforme a capacidade de detecção, o uso de autenticação multifator, o tipo de conta e o processo de recuperação. Um limite de bloqueio muito baixo pode prejudicar usuários ou facilitar uma negação de serviço. O comprimento e a expiração da senha, isoladamente, não descrevem toda a proteção da conta.

Criar e atribuir o PSO

No DC1 ou em um computador de administração com o módulo Active Directory para PowerShell, use uma conta com as permissões necessárias. Confirme que o nome Lab-Password-Policy ainda não existe e que GG_LabUsers contém labuser1. A referência de New-ADFineGrainedPasswordPolicy descreve os parâmetros usados:

$policyParameters = @{
    Name = 'Lab-Password-Policy'
    Precedence = 100
    MinPasswordLength = 14
    ComplexityEnabled = $true
    PasswordHistoryCount = 5
    MinPasswordAge = (New-TimeSpan -Days 0)
    MaxPasswordAge = (New-TimeSpan -Days 30)
    LockoutThreshold = 5
    LockoutDuration = (New-TimeSpan -Minutes 15)
    LockoutObservationWindow = (New-TimeSpan -Minutes 15)
    ReversibleEncryptionEnabled = $false
}
New-ADFineGrainedPasswordPolicy @policyParameters
Add-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'

Pela interface gráfica, abra o Centro Administrativo do Active Directory e navegue até o domínio → System → Password Settings Container. Crie o PSO, associe GG_LabUsers e confira a política resultante de labuser1. Os nomes das pastas podem variar com o idioma da interface. Se já criou o mesmo PSO na interface, não execute também o script.

Testar a regra ao alterar a senha

Alterar a política não aumenta retroativamente o comprimento de uma senha existente. Primeiro, confirme que o PSO esperado se aplica a labuser1. Depois, no CLIENT1, entre com essa conta e use a interface normal de alteração de senha. Tente um valor abaixo do comprimento mínimo e, em seguida, um valor que atenda aos requisitos: o primeiro deve ser recusado e o segundo aceito, desde que cumpra também as outras regras em vigor. Não registre senhas em logs ou capturas de tela.

Não faça tentativas incorretas repetidas com uma conta administrativa para demonstrar o bloqueio. Se a conta de laboratório voltar a ser bloqueada, procure credenciais desatualizadas em tarefas, serviços e conexões salvas; depois confira seu estado:

Get-ADUser -Identity 'labuser1' -Properties LockedOut,PasswordLastSet | Select-Object SamAccountName,LockedOut,PasswordLastSet

Desbloquear a conta não elimina a origem das falhas repetidas. Identifique e corrija a causa e, então, desbloqueie apenas a conta afetada; não afrouxe a política para contornar o problema.

Remover a atribuição e verificar a política substituta

Ao terminar o exercício, remova somente a associação ao grupo de laboratório:

Remove-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADDefaultDomainPasswordPolicy

Se nenhum outro PSO se aplicar, a política padrão do domínio volta a reger a conta; a consulta ao PSO resultante pode não retornar objeto algum. Remover a associação não restaura a senha anterior: guarde com segurança a nova senha válida. Antes de excluir o próprio PSO, confira se há outros alvos associados; você também pode deixá-lo sem alvo para outro laboratório.