适用范围

本文介绍 最小密码长度 安全策略设置的建议做法、位置、值、策略管理和安全注意事项。

最短密码长度策略设置确定可以构成用户帐户密码的最小字符数。 可以将值设置为 1 到 14 个字符，也可以通过将字符数设置为 0 来确定不需要密码。

将最小密码长度设置为至少 8。 如果字符数设置为 0，则无需密码。 在大多数环境中，建议使用八个字符的密码，因为它足够长，足以提供足够的安全性，并且仍然足够短，用户可以轻松记住。 目前不支持超过 14 的最小密码长度。 此值将有助于提供足够的防御来抵御暴力攻击。 增加复杂性要求有助于降低字典攻击的可能性。 有关详细信息，请参阅 密码必须满足复杂性要求。

允许短密码会降低安全性，因为使用对密码执行字典或暴力攻击的工具很容易破坏短密码。 要求使用长密码可能会导致密码键入错误，这可能会导致帐户锁定，并可能增加技术支持呼叫的量。

此外，要求使用长密码实际上可能会降低组织的安全性，因为用户可能更可能记下其密码以避免忘记密码。 但是，如果用户被教导他们可以使用通行短语 (句子，如“我想喝一个5美元的奶昔”) ，他们应该更有可能记住。

计算机配置\Windows 设置\安全设置\帐户策略\密码策略

下表列出了实际和有效的默认策略值。 默认值也会在策略的属性页上列出。

本部分介绍有助于管理此策略的功能、工具和指南。

无。 当在本地保存或通过组策略分发对此策略进行的更改时，这些更改无需重启设备即可立即生效。

本部分介绍攻击者如何利用一项功能或其配置，如何实施对策，以及对策实施可能产生的负面后果。

密码攻击类型包括字典攻击 (尝试使用常见字词和短语) 和暴力攻击 (尝试字符) 的每个可能组合。 此外，攻击者有时会尝试获取帐户数据库，以便他们可以使用工具来发现帐户和密码。

将 “最小密码长度” 策略设置配置为值 8 或更多。 如果字符数设置为 0，则无需密码。

在大多数环境中，我们建议使用八个字符的密码，因为它足够长，可以提供足够的安全性，但不太难让用户轻松记住。 此配置提供足够的防御来抵御暴力攻击。 除了“最小密码长度”设置外，使用“密码必须满足复杂性要求”策略设置，有助于减少字典攻击的可能性。

注意

 作为建立安全法规的一部分，一些司法管辖区对密码长度制定了法律要求。

长密码的要求实际上可能会降低组织的安全性，因为用户可能会将信息留在不安全的位置或丢失信息。 如果需要长密码，则键入错误的密码可能会导致帐户锁定并增加技术支持呼叫量。 如果组织因密码长度要求而出现忘记密码的问题，请考虑向用户教授密码，这些通行短语通常更容易记住，并且由于字符组合数量较多，更难发现。