相對于以前的活動(dòng)目錄只提供一種密碼和賬號(hào)鎖定策略的狀態(tài)，Windows Server 2008提供更為靈活的Fine Gained Password(?；艽a策略)。它能夠讓我們在一個(gè)域中指定多個(gè)密碼策略，能夠使用Fine-grained 密碼策略來將不同的密碼和賬號(hào)鎖定策略應(yīng)用到域中不同集合的用戶。
要存儲(chǔ)Fine-grained 密碼策略，Windows Server 2008 在活動(dòng)目錄目錄服務(wù)架構(gòu)中包含了兩個(gè)新的對象：
1、Password Settings Container（密碼設(shè)置容器）
2、Password Settings（密碼設(shè)置）
Password Settings Container （PSC）在缺省情況下被創(chuàng)建在域的System 容器中。可以通過活動(dòng)目錄用戶和計(jì)算機(jī)管理工具，選種高級(jí)特性選項(xiàng)來查看它。它存儲(chǔ)域的Password Settings objects (PSOs) 。
我們不能重命名、移動(dòng)或刪除該容器。盡管您可以創(chuàng)建額外的自定義的PSCs ，它們不會(huì)被考慮當(dāng)策略的結(jié)果集在計(jì)算對象的時(shí)候。因此，這也不是推薦的做法。
PSO 的屬性的設(shè)置能夠在Default Domain Policy（除Kerberos設(shè)置外）中設(shè)置。這些設(shè)置包括下面這些密碼設(shè)置屬性：
1、 Enforce password history（強(qiáng)制密碼歷史）
2、 Maximum password age（密碼最長使用期限）
3、 Minimum password age（密碼最短使用期限）
4、 Minimum password length（密碼最短長度）
5、 Passwords must meet complexity requirements（密碼必須符合復(fù)雜性）
6、 Store passwords using reversible encryption（用可還原的加密來儲(chǔ)存密碼）
這些設(shè)置也包含下面這些賬號(hào)鎖定設(shè)置屬性：
1、 Account lockout duration（密碼鎖定時(shí)間）
2、 Account lockout threshold（密碼鎖定閥值）
3、 Reset account lockout after（復(fù)位賬號(hào)鎖定計(jì)算器）
此外，PSO還有下面兩個(gè)新的屬性：
1、PSO link（PSO鏈接）。這是一個(gè)多值屬性，它可以被鏈接到用戶或組對象上。
2、Precedence（優(yōu)先）。 這是一整數(shù)值，用來解決沖突，如果多個(gè)PSO 被應(yīng)用到一個(gè)用戶或組對象上。
這九個(gè)屬性是mustHave 屬性。意思是您必須為每個(gè)屬性定義一個(gè)值。來自多個(gè)PSO 的設(shè)置不能被合并。
定義fine-grained 密碼策略的范圍
PSO 能夠被鏈接到和PSO位于同一個(gè)域的用戶（或inetOrgPerson）或組對象。
PSO 有一個(gè)名稱為msDS-PSOAppliesTo 的屬性，它包含了只到用戶或組的正向鏈接。msDS-PSOAppliesTo 屬性是多值的，它意味著您能夠?qū)⒁粋€(gè)PSO應(yīng)用到多個(gè)用戶或組。您能夠創(chuàng)建一個(gè)密碼策略并將它應(yīng)用到不同集合的用戶或組。
部署要求：
域中所有的DC必須為Windows Server 2008 或R2
域功能級(jí)別必為Windows Server 2008之上功能級(jí)別
須使用ADSIEDIT,LDUFDE等進(jìn)行管理
當(dāng)一個(gè)用戶鏈接有多個(gè)對象時(shí)，優(yōu)先級(jí)別數(shù)字越小，越優(yōu)先
實(shí)驗(yàn)環(huán)境：
在Win2008R2CNDC這臺(tái)DC上操作完成
實(shí)驗(yàn)要求：
檢查提升域功能級(jí)別
建立測試用的全局安全組和用戶
使用ADSIedit.msc創(chuàng)建PSO
使用第三方工具Fine Grain Password Policy Tool Beta 2創(chuàng)建PSO
驗(yàn)證用戶的PSO應(yīng)用
實(shí)驗(yàn)步驟：
一、檢查提升域功能級(jí)別
二、建立測試用的全局安全組TestGroup和用戶TestUser，并將TestUser加入到TestGroup
三、使用ADSIedit.msc創(chuàng)建PSO
運(yùn)行ADSIedit.msc, 如下圖進(jìn)行操作
四、使用第三方工具Fine Grain Password Policy Tool Beta 2創(chuàng)建PSO
相對于使用Adsiedit.msc建立PSO的方法，F(xiàn)ine Grain Password Policy Tool Beta 2提供了更為直觀方便快捷的圖形用戶操作界面，同時(shí)它能很直觀查看對象策略結(jié)果。
1、安裝
Fine Grain Password Policy Tool Beta 2分為X64和X86兩個(gè)版本，安裝過程略
2、設(shè)置
運(yùn)行MMC，添加Fine Grain Password Policy Tool管理單元
五、驗(yàn)證用戶的PSO應(yīng)用
可以通過活動(dòng)目錄用戶和計(jì)算機(jī)，右擊TESTUSER，選擇更改密碼，觀察是否生效。
