Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Um die Benutzersicherheit in Microsoft Entra Domain Services zu verwalten, können Sie differenzierte Kennwortrichtlinien definieren, die Kontosperreinstellungen oder die minimale Kennwortlänge und -komplexität steuern. Eine differenzierte Standardkennwortrichtlinie wird erstellt und auf alle Benutzer in einer verwalteten Domäne der Domänendienste angewendet. Um präzise Kontrolle zu bieten und bestimmte Geschäfts- oder Complianceanforderungen zu erfüllen, können zusätzliche Richtlinien erstellt und auf bestimmte Benutzer oder Gruppen angewendet werden.
In diesem Artikel erfahren Sie, wie Sie mithilfe des Active Directory-Verwaltungscenters eine differenzierte Kennwortrichtlinie in Domänendiensten erstellen und konfigurieren.
Hinweis
Kennwortrichtlinien sind nur für verwaltete Domänen verfügbar, die mit dem Ressourcen-Manager-Bereitstellungsmodell erstellt wurden.
Bevor Sie anfangen
Für diesen Artikel benötigen Sie die folgenden Ressourcen und Berechtigungen:
- Ein aktives Azure-Abonnement.
- Wenn Sie nicht über ein Azure-Abonnement verfügen, erstellen Sie ein Konto.
- Ein Microsoft Entra-Mandant, der Ihrem Abonnement zugeordnet ist und entweder mit einem lokalen Verzeichnis oder einem reinen Cloud-Verzeichnis synchronisiert ist.
- Eine verwaltete Domäne von Microsoft Entra Domain Services ist in Ihrem Microsoft Entra-Mandanten aktiviert und konfiguriert.
- Führen Sie bei Bedarf das Lernprogramm aus, um eine verwaltete Domäne von Microsoft Entra Domain Services zu erstellen und zu konfigurieren.
- Die verwaltete Domäne muss mit dem Ressourcen-Manager-Bereitstellungsmodell erstellt worden sein.
- Eine Windows Server-Verwaltungs-VM, die der verwalteten Domäne beigetreten ist.
- Führen Sie bei Bedarf das Lernprogramm zum Erstellen einer Verwaltungs-VM aus.
- Ein Benutzerkonto, das Mitglied der Microsoft Entra DC-Administratorgruppe in Ihrem Microsoft Entra-Mandanten ist.
Standardeinstellungen für Kennwortrichtlinien
Mit präzisen Kennwortrichtlinien (FGPPs) können Sie bestimmte Einschränkungen für Kennwort- und Kontosperrrichtlinien auf verschiedene Benutzer in einer Domäne anwenden. Um beispielsweise privilegierte Konten zu schützen, können Sie strengere Kontosperreinstellungen als normale nicht privilegierte Konten anwenden. Sie können mehrere FGPPs in einer verwalteten Domäne erstellen und die Reihenfolge der Priorität angeben, um sie auf Benutzer anzuwenden.
Weitere Informationen zu Kennwortrichtlinien und zur Verwendung des Active Directory-Verwaltungscenters finden Sie in den folgenden Artikeln:
- Informationen zu präzisen Kennwortrichtlinien
- Konfigurieren fein abgestimmter Kennwortrichtlinien mithilfe des AD Administration Centers
Richtlinien werden über die Gruppenzuordnung in einer verwalteten Domäne verteilt, und alle Änderungen, die Sie vornehmen, werden bei der nächsten Benutzeranmeldung angewendet. Durch das Ändern der Richtlinie wird kein Benutzerkonto entsperrt, das bereits gesperrt ist.
Kennwortrichtlinien verhalten sich je nach Erstellung des Benutzerkontos, auf das sie angewendet wurden, etwas anders. Es gibt zwei Möglichkeiten, wie ein Benutzerkonto in Domänendiensten erstellt werden kann:
- Das Benutzerkonto kann aus der Microsoft Entra-ID synchronisiert werden. Dazu gehören reine Cloudbenutzerkonten, die direkt in Azure erstellt wurden, und Hybridbenutzerkonten, die mit Microsoft Entra Connect aus einer lokalen AD DS-Umgebung synchronisiert wurden.
- Der Großteil der Benutzerkonten in Domänendiensten wird über den Synchronisierungsprozess von Microsoft Entra ID erstellt.
- Das Benutzerkonto kann manuell in einer verwalteten Domäne erstellt werden und ist nicht in der Microsoft Entra-ID vorhanden.
Alle Benutzer, unabhängig davon, wie sie erstellt werden, haben die folgenden Kontosperrungsrichtlinien, die von der Standardkennwortrichtlinie in Domänendiensten angewendet werden:
- Kontosperrdauer: 30
- Anzahl der zulässigen fehlgeschlagenen Anmeldeversuche: 5
- Zählung fehlgeschlagener Anmeldeversuche zurücksetzen nach: 2 Minuten
- Maximales Kennwortalter (Lebensdauer): 90 Tage
Bei diesen Standardeinstellungen werden Benutzerkonten 30 Minuten gesperrt, wenn fünf ungültige Kennwörter innerhalb von 2 Minuten verwendet werden. Konten werden nach 30 Minuten automatisch entsperrt.
Kontosperrungen treten nur innerhalb der verwalteten Domäne auf. Benutzerkonten sind nur in Domänendiensten gesperrt, und nur aufgrund fehlgeschlagener Anmeldeversuche für die verwaltete Domäne. Benutzerkonten, die aus der Microsoft Entra-ID oder lokal synchronisiert wurden, sind nur in Domändiensten und nicht in ihren Quellverzeichnissen gesperrt.
Wenn Sie über eine Microsoft Entra-Kennwortrichtlinie verfügen, die ein maximales Kennwortalter von mehr als 90 Tagen angibt, wird dieses Kennwortalter auf die Standardrichtlinie in Domänendiensten angewendet. Sie können eine benutzerdefinierte Kennwortrichtlinie konfigurieren, um ein anderes maximales Kennwortalter in Domänendiensten zu definieren. Achten Sie darauf, ob Sie ein kürzeres maximales Kennwortalter in einer Kennwortrichtlinie für Domänendienste als in der Microsoft Entra-ID oder in einer lokalen AD DS-Umgebung konfiguriert haben. In diesem Szenario läuft das Kennwort eines Benutzers möglicherweise in den Domänendiensten ab, bevor er aufgefordert wird, sich in der Microsoft Entra-ID oder einer lokalen AD DS-Umgebung zu ändern.
Bei Benutzerkonten, die manuell in einer verwalteten Domäne erstellt wurden, werden auch die folgenden zusätzlichen Kennworteinstellungen aus der Standardrichtlinie angewendet. Diese Einstellungen gelten nicht für Benutzerkonten, die aus der Microsoft Entra-ID synchronisiert werden, da ein Benutzer sein Kennwort nicht direkt in den Domänendiensten aktualisieren kann.
- Mindestlänge des Kennworts (Zeichen): 7
- Kennwörter müssen Komplexitätsanforderungen erfüllen
Sie können die Kontosperrung oder die Kennworteinstellungen in der Standardkennwortrichtlinie nicht ändern. Stattdessen können Mitglieder der Gruppe „AAD DC-Administratoren“ benutzerdefinierte Kennwortrichtlinien erstellen und sie so konfigurieren, dass sie Vorrang vor der vordefinierten integrierten Richtlinie haben, wie im nächsten Abschnitt gezeigt.
Erstellen einer benutzerdefinierten Kennwortrichtlinie
Wenn Sie Anwendungen in Azure erstellen und ausführen, möchten Sie möglicherweise eine benutzerdefinierte Kennwortrichtlinie konfigurieren. Sie können z. B. eine Richtlinie erstellen, um verschiedene Kontosperrungsrichtlinieneinstellungen festzulegen.
Benutzerdefinierte Kennwortrichtlinien werden auf Gruppen in einer verwalteten Domäne angewendet. Diese Konfiguration setzt die Standardrichtlinie effektiv außer Kraft.
Zum Erstellen einer benutzerdefinierten Kennwortrichtlinie verwenden Sie die Active Directory-Verwaltungstools von einer in eine Domäne eingebundenen VM. Mit dem Active Directory-Verwaltungscenter können Sie Ressourcen in einer verwalteten Domäne anzeigen, bearbeiten und erstellen, einschließlich OUs.
Hinweis
Um eine benutzerdefinierte Kennwortrichtlinie in einer verwalteten Domäne zu erstellen, müssen Sie bei einem Benutzerkonto angemeldet sein, das Mitglied der Gruppe "AAD DC-Administratoren " ist.
Wählen Sie auf dem Startbildschirm " Verwaltungstools" aus. Es wird eine Liste der verfügbaren Verwaltungstools angezeigt, die im Lernprogramm zum Erstellen einer Verwaltungs-VM installiert wurden.
Um OUs zu erstellen und zu verwalten, wählen Sie das Active Directory-Verwaltungscenter aus der Liste der Verwaltungstools aus.
Wählen Sie im linken Bereich Ihre verwaltete Domäne aus, z. B. aaddscontoso.com.
Öffnen Sie den Systemcontainer und dann den Container für Kennworteinstellungen.
Es wird eine integrierte Kennwortrichtlinie für die verwaltete Domäne angezeigt. Sie können diese integrierte Richtlinie nicht ändern. Erstellen Sie stattdessen eine benutzerdefinierte Kennwortrichtlinie, um die Standardrichtlinie außer Kraft zu setzen.
Wählen Sie im Bereich "Aufgaben " auf der rechten Seite "Neue > Kennworteinstellungen" aus.
Geben Sie im Dialogfeld " Kennworteinstellungen erstellen " einen Namen für die Richtlinie ein, z. B. "MyCustomFGPP".
Wenn mehrere Kennwortrichtlinien vorhanden sind, wird die Richtlinie mit der höchsten Priorität auf einen Benutzer angewendet. Je niedriger die Zahl, desto höher die Priorität. Die Standardkennwortrichtlinie hat eine Priorität von 200.
Legen Sie die Rangfolge für Ihre benutzerdefinierte Kennwortrichtlinie fest, um die Standardeinstellung außer Kraft zu setzen, z. B. 1.
Bearbeiten Sie andere Kennwortrichtlinieneinstellungen nach Bedarf. Kontosperreinstellungen gelten für alle Benutzer, jedoch nur innerhalb der verwalteten Domäne und nicht in Microsoft Entra selbst.
Deaktivieren Sie das Kontrollkästchen "Schutz vor versehentlichem Löschen". Wenn diese Option ausgewählt ist, können Sie das FGPP nicht speichern.
Wählen Sie im Abschnitt "Direkt gilt für " die Schaltfläche "Hinzufügen " aus. Wählen Sie im Dialogfeld "Benutzer oder Gruppen auswählen" die Schaltfläche "Speicherorte" aus.
Erweitern Sie im Dialogfeld „Speicherorte“ den Domänennamen, z. B. aaddscontoso.com, und wählen Sie dann eine OU aus, z. B. AADDC-Benutzer. Wenn Sie über eine benutzerdefinierte OU verfügen, die eine Gruppe von Benutzern enthält, die Sie anwenden möchten, wählen Sie diese OU aus.
Geben Sie den Namen des Benutzers oder der Gruppe ein, auf den Sie die Richtlinie anwenden möchten. Wählen Sie " Namen überprüfen " aus, um das Konto zu überprüfen.
Klicken Sie auf "OK ", um Ihre benutzerdefinierte Kennwortrichtlinie zu speichern.
Nächste Schritte
Weitere Informationen zu Kennwortrichtlinien und zur Verwendung des Active Directory-Verwaltungscenters finden Sie in den folgenden Artikeln: