在上兩篇文章《精通Windows Server 2008 多元密碼策略之ADSIEDIT篇》和《精通Windows Server 2008 多元密碼策略之LDIFDE篇》中我向大家介紹了如何通過ADSIEDIT工具、活動(dòng)目錄用戶和計(jì)算機(jī)管理單元和LDIFDE命令行工具創(chuàng)建、管理密碼設(shè)置對(duì)象PSO。在這篇文章中，我將向大家展示如何使用Quese公司出品的針對(duì)AD管理的PowerShell來(lái)實(shí)現(xiàn)、管理多元密碼策略。

按照慣例，為了讓大家在操作的時(shí)候有一個(gè)清晰的思路，我將主要的操作步驟寫出來(lái)：

步驟 1：創(chuàng)建 PSO

步驟 2：將 PSO 應(yīng)用到用戶和/或全局安全組

步驟 3：管理 PSO

步驟 4：查看用戶或全局安全組的結(jié)果 PSO

步驟5：驗(yàn)證結(jié)果

注：由于通用性和重復(fù)性，有些步驟不一定會(huì)演示出來(lái)，請(qǐng)參考前面的文章。

實(shí)戰(zhàn)

Ⅲ. PowerShell

步驟1：創(chuàng)建PSO

1.

在正式開始前還需要做一點(diǎn)準(zhǔn)備工作。請(qǐng)確保2008服務(wù)器添加了Windows Power Shell功能。另外，請(qǐng)到Quest網(wǎng)站下載powershell管理包并安裝。http://www.quest.com/powershell/activeroles-server.aspx。如果你懶得去找，那么可以從如下地址下載，不過我不保證以后這個(gè)地址不失效或者有新版本推出沒有更新：

32位：

http://www.quest.com/Quest_Download_Assets/individual_components/ManagementShellforActiveDirectory32bit_11.msi

64位：

http://www.quest.com/Quest_Download_Assets/individual_components/ManagementShellforActiveDirectory64bit_11.msi

2.

在所有程序里面找到并打開安裝的ActiveRoles Management Shell for Active Directory。

3.

輸入如下cmdlet創(chuàng)建一個(gè)PSO，如圖1.創(chuàng)建好后，可以使用Get-QADPasswordSettingsObject查看當(dāng)前AD內(nèi)的PSO。

New-QADPasswordSettingsObject

-Name 'AdminPSO' -Precedence 1

-ReversibleEncryptionEnabled:$FALSE

-PasswordHistoryLength 3

-PasswordComplexityEnabled:$TRUE

-MinimumPasswordLength 16

-MinimumPasswordAge (new-timespan -days -0)

-MaximumPasswordAge (new-timespan -days -14)

-LockoutThreshold 3

-ResetLockoutCounterAfter (new-timespan -days -0 -hour -0 -minute -30)

-LockoutDuration (new-timespan -days -0 -hour -0 -minute -30)

-AppliesTo winospsogroup

圖1

4.

可以使用Get-QADPasswordSettingsObject cmdlet來(lái)查看當(dāng)前存在的PSO。如圖2.

圖2

步驟 2：將 PSO 應(yīng)用到用戶和/或全局安全組

在步驟1中，我們已經(jīng)通過使用Net-QADPasswordSettingsObject的-AppliesTo參數(shù)將PSO應(yīng)用到了安全組PSOGroup上。如果想通過cmdlet修改鏈接至lisi用戶身上，運(yùn)行如下命令，如圖3所示：

Add-QADPasswordSettingsObjectAppliesTo 'AdminPSO' -AppliesTo winoslisi

圖3

步驟 3：管理 PSO

目前該版本的cmdlet在對(duì)查看和修改 PSO 設(shè)置、修改 PSO 優(yōu)先級(jí)、刪除PSO等管理還沒有直接的cmdlet命令集來(lái)支持。如有需要，請(qǐng)查看前面的文章。期待在以后版本中能完善該功能。不過個(gè)人感覺即便完善了，在ADUC里面更改仍具有不可比擬的便捷性。

步驟 4：查看用戶或全局安全組的結(jié)果 PSO

請(qǐng)參考前面的文章，此處略。

步驟5：驗(yàn)證結(jié)果

請(qǐng)參考前面的文章，此處略。

結(jié)束語(yǔ)

在這篇文章中，我向大家演示了如何通過Quest的Powershell cmdlet來(lái)管理多元密碼策略。由于產(chǎn)品本身設(shè)計(jì)原因以及很多操作在GUI界面中更具備便捷性，所以我就沒有進(jìn)行過多的演示。在下一篇文章，也是最后一篇文章中，我將向大家隆重介紹如何使用老外開發(fā)的圖形界面工具FGPP來(lái)實(shí)現(xiàn)、管理多元密碼策略