การตรวจสอบนโยบายรหัสผ่านเกี่ยวกับผู้ใช้ที่มีอยู่

ฉันเพิ่งเข้ามาในสภาพแวดล้อมที่เข้าสู่ระบบฐานข้อมูลจำนวนมากไม่ได้enforce_password_policyเปิดใช้งานการตั้งค่าสถานะ
การตรวจสอบที่กำลังจะมาถึงนั้นจำเป็นต้องทำการยืนยันรหัสผ่านของการเข้าสู่ระบบเหล่านี้

ฉันใช้แบบสอบถามต่อไปนี้เพื่อรับรายการการเข้าสู่ระบบและไม่ว่าธงจะเปิดหรือปิด

select 
    @@SERVERNAME as servername, 
    name, 
    IS_SRVROLEMEMBER('sysadmin', name) as SYSADMIN,
    type_desc,
    create_date,
    is_policy_checked,
    is_disabled,
    password_hash,
    PWDCOMPARE(name, password_hash) as UsernameAsPassword
FROM sys.sql_logins

อย่างไรก็ตามสิ่งนี้ไม่ได้บอกฉันว่ารหัสผ่านนั้นเป็นไปตามนโยบายรหัสผ่านจริงหรือไม่เนื่องจากการตั้งค่าสถานะนั้นเกี่ยวข้องเฉพาะเมื่อสร้างผู้ใช้

มีวิธีรู้จักทดสอบผู้ใช้ปัจจุบันสำหรับการปฏิบัติตามนโยบายรหัสผ่านหรือไม่
ฉันไม่สามารถเข้าถึงรหัสผ่านเก่าได้และฉันต้องการวิธีที่ไม่ต้องการรหัสผ่าน

นี้อาจไม่เป็นที่นิยมในหมู่ผู้ใช้ของคุณ แต่ผมเชื่อว่าวิธีเดียวที่คุณสามารถทราบว่าคือการบังคับให้เปลี่ยนรหัสผ่านสำหรับการเข้าสู่ระบบทุก SQL CHECK_POLICY = ONกับ สิ่งนี้จะสร้างชุดของALTER LOGINคำสั่งด้วยรหัสผ่านที่ว่างเปล่าคุณสามารถอัปเดตแบบสอบถามที่ให้รหัสผ่านทั่วไปทั้งหมดหรืออัปเดตแต่ละรายการด้วยรหัสผ่านแต่ละรายการ - เพียงตรวจสอบให้แน่ใจว่าพวกเขาปฏิบัติตามนโยบายของคุณ แน่นอนคุณต้องแน่ใจว่านโยบายรหัสผ่านนั้นซับซ้อนตามที่คุณคาดไว้และมีการเปิดใช้งาน (แผงควบคุม> เครื่องมือการดูแลระบบ> นโยบายความปลอดภัยในพื้นที่> นโยบายบัญชี> นโยบายรหัสผ่าน> รหัสผ่านจะต้องตรงตามข้อกำหนดด้านความซับซ้อน)

SELECT N'ALTER LOGIN ' + QUOTENAME(name) 
  + N' WITH PASSWORD = N'''' MUST_CHANGE, CHECK_POLICY = ON;' 
  FROM sys.sql_logins 
  --WHERE is_policy_checked = 0;

สตีฟโจนส์เขียนถึงเรื่องนี้สักพัก โปรดทราบว่า - เนื่องจากสิ่งที่ฉันค้นพบด้านล่าง - คุณไม่สามารถวางใจได้is_policy_checked = 1ว่ารหัสผ่านตรงตามนโยบายปัจจุบันของคุณเนื่องจากการเข้าสู่ระบบอาจสร้างด้วยรหัสผ่านที่ถูกแฮช (ในกรณีนี้รหัสผ่านข้อความธรรมดาไม่สามารถ ทำเครื่องหมาย) หรือในขณะที่นโยบายความซับซ้อนในพื้นที่ถูกปิดใช้งาน (ซึ่งยังคงนำไปสู่is_policy_checked = 1)

อีกวิธีหนึ่งที่ฉันคิดว่าน่าจะเป็นก็คือพยายามสร้างสำเนาของการเข้าสู่ระบบทุกครั้งด้วยการเข้าสู่ระบบในปัจจุบันpassword_hashและด้วยCHECK_POLICY = ONและจดบันทึกทุก ๆ การล้มเหลว อย่างไรก็ตามสิ่งนี้ไม่สามารถใช้งานได้ - แม้ว่าCHECK_POLICY = ONจะไม่ได้ทำการตรวจสอบรหัสผ่านที่แฮชแล้วก็ตาม ฉันจะรวมรหัสสำหรับลูกหลาน - แต่โดยการออกแบบนโยบายไม่สามารถตรวจสอบได้

SELECT N'BEGIN TRY
  CREATE LOGIN ' + QUOTENAME(N'copy_of_' + name) 
    + N' WITH PASSWORD = ' 
    + CONVERT(NVARCHAR(255), password_hash, 1)
    + ' HASHED, CHECK_POLICY = ON;
  DROP LOGIN ' + QUOTENAME(N'copy_of_' + name) + ';
END TRY
BEGIN CATCH
  IF ERROR_NUMBER() = 15118
    PRINT N''' + REPLACE(name, '''', '''''') 
      + N' was not complex enough.'';
END CATCH'
FROM sys.sql_logins;

โดยส่วนตัวฉันคิดว่านี่เป็นข้อผิดพลาด หากไวยากรณ์อนุญาตให้ฉันสร้างการเข้าสู่ระบบโดยใช้รหัสผ่านที่แฮชและฉันสามารถกำหนดให้รหัสผ่านนั้นต้องเป็นไปตามนโยบายความซับซ้อนของฉันก็ควรสร้างข้อผิดพลาดหรือคำเตือนว่านโยบายนั้นไม่ได้ตรวจสอบจริง

อัปเดต : ฉันยื่นข้อผิดพลาดกับพฤติกรรมนี้

• CHECK_POLICY ไม่ต้องเข้าร่วมด้วยสร้างการเข้าสู่ระบบ ... รหัสผ่าน ... แฮช

ไม่มีทางที่คุณจะได้รับความแม่นยำ 100% แม้ว่าคุณสามารถใช้PWDCOMPAREเพื่อตรวจสอบกับรายการของรหัสผ่านที่อ่อนแอ (คุณสามารถเพิ่มลงในรายการของรหัสผ่านที่อ่อนแอและทำการเปรียบเทียบ)

ฉันได้เขียนสคริปต์ที่คล้ายกันซึ่งทำการเปรียบเทียบและให้ผลลัพธ์กับคุณ ผมได้โพสต์ไว้บนGitHub

แก้ไข:

ตอนนี้คุณสามารถมีรายการรหัสผ่านที่อ่อนแอใน csv แล้วใช้ dbatools Test-DbaLoginPasswordพร้อม -Dictionaryสวิตช์ (ระบุรายการรหัสผ่านเพื่อรวมไว้ในการทดสอบสำหรับรหัสผ่านที่อ่อนแอ)

นโยบายรหัสผ่านสำหรับการเข้าสู่ระบบ SQL เป็นเพียงการตั้งค่าสถานะเป็นเปิดหรือปิด หากการตรวจสอบการตั้งค่าสถานะนโยบายรหัสผ่านแสดงว่านโยบายรหัสผ่าน Windows จากระบบปฏิบัติการถูกบังคับใช้

ตรวจสอบเอกสารประกอบ CREATE LOGIN เพื่อดูรายละเอียดว่าจะเกิดอะไรขึ้นเมื่อ CHECK_POLICY และ CHECK_EXPIRATION ถูกตั้งค่า

คุณสามารถดูการตั้งค่าต่อผู้ใช้ SQL ได้โดยตรวจสอบคอลัมน์ is_policy_checked และ is_expiration_checked ใน sys.sql_logins

สิ่งที่ต้องการด้านล่าง:

SELECT name,
create_date,
modify_date,
LOGINPROPERTY(name, 'DaysUntilExpiration') DaysUntilExpiration,
LOGINPROPERTY(name, 'PasswordLastSetTime') PasswordLastSetTime,
LOGINPROPERTY(name, 'IsExpired') IsExpired,
LOGINPROPERTY(name, 'IsMustChange') IsMustChange
From sys.sql_logins ;

สำหรับการเข้าสู่ระบบการรับรองความถูกต้องของเซิร์ฟเวอร์ SQL:

select * from sys.server_principals where type in ('U','G') - จะแสดงการเข้าสู่ระบบและกลุ่มที่สามารถเข้าถึง SQL Server ผ่าน Windows Authentication