AWS Directory Service
管理指南 (版本 1.0)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

支持的策略设置

AWS Managed Microsoft AD 包括五个精细策略,这些策略带有不可编辑的优先顺序值。这些策略具有各种属性,您可以配置这些属性,在出现登录失败的情况下实施密码强度和账户锁定操作。您可以将策略分配给零个或多个 Active Directory 组。如果最终用户是多个组的成员并接收多个密码策略,Active Directory 将会强制实施优先顺序值最低的策略。

AWS 预定义密码策略

下表列出了您的 AWS Managed Microsoft AD 目录中包含的五个策略及其分配的优先顺序值。有关更多信息,请参阅优先顺序

策略名称 优先顺序
CustomerPSO-01 10
CustomerPSO-02 20
CustomerPSO-03 30
CustomerPSO-04 40
CustomerPSO-05 50

密码策略属性

您可以编辑您的密码策略中的以下属性,以便符合合规性标准,从而满足您的业务需求。

您无法修改这些策略的优先顺序值。有关这些设置如何影响密码实施的更多详细信息,请参阅 Microsoft TechNet 网站上的 AD DS:精细密码策略。有关这些策略的一般信息,请参阅 Microsoft TechNet 网站上的密码策略

账户锁定策略

您还可以修改密码策略的以下属性,以指定 Active Directory 在登录失败时是否以及如何锁定账户:

  • 允许的最大失败登录尝试数

  • 账户锁定持续时间

  • 在一段持续时间后重置失败的登录尝试

有关这些策略的一般信息,请参阅 Microsoft TechNet 网站上的账户锁定策略

优先顺序

策略的优先顺序值越小,优先级越高。您可以将密码策略分配给 Active Directory 安全组。虽然您应该将一个策略应用到一个安全组,不过单个用户可以接收多个密码策略。例如,假设 jsmith 是 HR 组的成员,同时还是经理组的成员。如果您将 CustomerPSO-05 (优先顺序值为 50) 分配给 HR 组,将 CustomerPSO-04 (优先顺序值为 40) 分配给经理组,则 CustomerPSO-04 具有更高的优先级,并且 Active Directory 会将策略应用于 jsmith

如果您将多个策略分配给用户或组,Active Directory 将按照以下方式确定生成的策略:

  1. 应用您直接分配给用户对象的策略。

  2. 如果未直接向用户对象分配任何策略,由于组成员资格的原因,会应用该用户收到的所有策略中具有最低优先顺序值的策略。

有关其他详细信息,请参阅 Microsoft TechNet 网站上的 AD DS:精细密码策略