Posso forzare password univoche per gli account di amministratore di dominio?

Forzare password univoche sia per l'amministratore del dominio che per l'account giornaliero farebbe semplicemente le persone in modo che utilizzino come "MyP @ ssw0rd1" per il loro Daily e "MyP @ ssw0rd2" per l'amministratore del dominio.

In ogni caso, le password potrebbero essere facilmente indovinate, sapendo che la password giornaliera renderebbe più semplice a un utente malintenzionato la deduzione della password del dominio.

Il rischio che vuoi proteggere è se un software dannoso o un utente malintenzionato potrebbe accedere all'account amministratore del dominio, conoscendo la password dell'account giornaliero.

Per proteggerlo suggerirei di utilizzare una soluzione token 2FA con token OTP. Ogni volta sincronizzata o evento sincronizzato. O anche un Yubikey. Il vantaggio con i token OTP basati su codice o yubikey è che possono essere utilizzati nei sistemi di password legacy semplicemente sostituendo il modulo di convalida della password con uno che può convalidare un codice costituito da una password statica e una OTP. 2FA è quindi abilitato solo per l'amministratore di dominio, il che significa che il token può essere bloccato in sicurezza in una cassastrong mentre non è utilizzato.

Un'altra soluzione è applicare una regola di accesso a 2 persone. Semplice, hai 2 amministratori di dominio. Un amministratore di dominio ha una password che conosce a metà senza che l'altro guardi, poi l'altro amministratore di dominio ne scrive un'altra metà che conosce, senza che l'amministratore 1 guardi. Quindi entrambe le persone devono venire all'unisono per accedere all'account dell'amministratore del dominio, che aumenta sia la tracciabilità, ma anche la sicurezza poiché è necessario conoscere entrambe le password, quindi anche se entrambi gli amministratori impostano la loro metà sulla propria password giornaliera, la sicurezza non è compromessa. p>     

Suppongo che stiamo discutendo di Windows Active Directory all'interno di un dominio.

Per quanto ne so, non credo sia possibile imporre password univoche tra due account separati relativi allo stesso utente finale utilizzando metodi standard di implementazione della password.

Tuttavia, è possibile utilizzare un software di terze parti per gestire gli account degli amministratori e modificare la password in una generazione casuale adeguatamente difficile. (Questo non impedisce loro di cambiarlo in qualcosa che vogliono in seguito, dato che sono amministratori di dominio ... ma funziona davvero bene per gli amministratori locali!)