PowerShell : comment définir le seuil minimum de longueur et d’âge du mot de passe sur Windows

Principaux points à retenir

• La mise en place de stratégies de mots de passe performantes est fondamentale pour la sécurité informatique.
• Le script PowerShell fourni automatise les configurations de stratégie de mot de passe sur Windows.
• L’exécution du script nécessite des privilèges d’administrateur.
• Les méthodes automatisées, comme ce script, sont plus efficaces que les configurations manuelles, en particulier pour les grands parcs informatiques.
• Des révisions et des mises à jour régulières de la stratégie sont essentielles pour une sécurité proactive.
• L’intégration avec des plateformes telles que NinjaOne peut décupler les avantages de ces scripts.
• La garantie d’exigences cohérentes en matière de mots de passe renforce directement la sécurité informatique.
• En cette période d’expansion rapide des technologies et des menaces qui planent sur elles, les outils d’automatisation sont essentiels.

Dans le domaine en constante évolution de la sécurité informatique, la protection de l’accès aux comptes utilisateurs reste un principe fondamental. Alors que les entreprises cherchent à renforcer leurs mesures de sécurité, il devient primordial de définir des exigences appropriées en matière de mots de passe. C’est ici qu’entre en jeu un script PowerShell, un script qui joue un rôle essentiel en automatisant la modification des stratégies de mot de passe sur les appareils Windows.

Contexte

Traditionnellement, les professionnels de l’informatique et les fournisseurs de services gérés (MSP) définissent manuellement les exigences en matière de mots de passe. Mais, à mesure que les infrastructures se développent et qu’il devient impératif de travailler à plus grande échelle, les processus manuels deviennent peu pratiques. Ce script PowerShell apporte une réponse efficace en permettant aux administrateurs de définir des longueurs de mot de passe et des durées de validité (âge) spécifiques pour les comptes locaux sur les systèmes Windows. En automatisant ces tâches banales mais essentielles, les professionnels peuvent garantir des stratégies de mots de passe cohérentes et, par extension, un environnement de sécurité informatique plus performant.

Le script PowerShell

#Requires -Version 5.1

<#
.SYNOPSIS
    Set the minium password length or age for local accounts.
.DESCRIPTION
    Set the minium password length or age for local accounts.
.EXAMPLE
     -Length 14
    Set the minium password length for local accounts.
.EXAMPLE
     -Length 14 -MinAge 30 -MaxAge 42
    Set the minium password length, minium age, maximum age for local accounts.
.EXAMPLE
    PS C:> Set-MiniumPasswordRequirements.ps1 -Length 14 -Age 42
    Set the minium password length and age for local accounts.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    LocalUserAccountManagement
#>

[CmdletBinding()]
param (
    [Parameter()]
    [ValidateRange(0, 14)]
    [int]
    $Length,
    [Parameter()]
    [ValidateRange(0, 998)]
    [int]
    $MinAge,
    [Parameter()]
    [ValidateRange(0, 999)]
    [int]
    $MaxAge
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Get-LocalPasswordPolicy {
        param ()
        $Result = [PSCustomObject]@{
            MinimumLength = 0
            MaximumAge    = 0
            MinimumAge    = 0
        }
        $(net.exe accounts) -split "n" | ForEach-Object {
            $Line = $_ -split ":"
            if ($_ -like "Minimum password length*") {
                $Result.MinimumLength = "$($Line[1])".Trim(' ')
            }
            if ($_ -like "Maximum password age (days)*") {
                $Result.MaximumAge = "$($Line[1])".Trim(' ')
            }
            if ($_ -like "Minimum password age (days)*") {
                $Result.MinimumAge = "$($Line[1])".Trim(' ')
            }
        }
        $Result
    }

    $NetExeError = $false
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    # Get Current localhost password policy settings
    $CurrentSettings = Get-LocalPasswordPolicy
    
    if ($PSBoundParameters.ContainsKey("Length") -and -not ($CurrentSettings.MinimumLength -like $NewSettings.MinimumLength -or $CurrentSettings.MinimumLength -eq $NewSettings.MinimumLength)) {
        Write-Host "Changing Minimum Password Length from $($CurrentSettings.MinimumLength) to $Length"
        net.exe accounts /minpwlen:$Length
    }
    if ($PSBoundParameters.ContainsKey("MaxAge") -and
        -not (
            $(if ($CurrentSettings.MaximumAge -like "unlimited") { 0 }else { $CurrentSettings.MaximumAge }) -like
            $(if ($NewSettings.MaximumAge -like "unlimited") { 0 }else { $NewSettings.MaximumAge })
        )) {
        Write-Host "Changing Maximum Password Age from $($CurrentSettings.MaximumAge) to $MaxAge"
        if ($MaxAge -gt 0) {
            net.exe accounts /maxpwage:$MaxAge
        }
        else {
            net.exe accounts /maxpwage:unlimited
        }
    }
    if ($PSBoundParameters.ContainsKey("MinAge") -and -not ($CurrentSettings.MinimumAge -like $NewSettings.MinimumAge -or $CurrentSettings.MinimumAge -eq $NewSettings.MinimumAge)) {
        Write-Host "Changing Minimum Password Age from $($CurrentSettings.MinimumAge) to $MinAge"
        net.exe accounts /minpwage:$MinAge
    }

    # Get New localhost password policy settings and check if anything changed
    $NewSettings = Get-LocalPasswordPolicy
    
    if ($PSBoundParameters.ContainsKey("Length") -and ($PSBoundParameters['Length'] -notlike $NewSettings.MinimumLength)) {
        $NetExeError = $true
        Write-Host "Minimum Length was not set correctly."
    }
    if ($PSBoundParameters.ContainsKey("MaxAge") -and ($PSBoundParameters['MaxAge'] -notlike $(if ($NewSettings.MaximumAge -like "unlimited") { 0 }else { $NewSettings.MaximumAge }))) {
        $NetExeError = $true
        Write-Host "Maximum Age was not set correctly."
    }
    if ($PSBoundParameters.ContainsKey("MinAge") -and ($PSBoundParameters['MinAge'] -notlike $NewSettings.MinimumAge)) {
        $NetExeError = $true
        Write-Host "Minimum Age was not set correctly."
    }
    if ($NetExeError) {
        exit 1
    }
}
end {}

 

Description détaillée

Le script fourni utilise les capacités de PowerShell pour modifier les stratégies de mot de passe sur Windows :

• Cmdlet Binding : le script commence par lier la stratégie à la cmdlet, ce qui lui permet d’accepter des paramètres tels que « Length », « MinAge » et « MaxAge ».
• Test-IsElevated : une fonction garantissant que le script s’exécute avec des privilèges élevés.
• Get-LocalPasswordPolicy : Cette fonction permet d’obtenir la stratégie locale actuelle en matière de mots de passe. Elle utilise la commande « net.exe » pour rassembler les attributs de la stratégie de mot de passe et les renvoie.
• Bloc « process » : c’est ici que réside la logique de base. Le script compare les stratégies existantes et les nouveaux paramètres. En cas de différences, il utilise les commandes « net.exe » pour ajuster les stratégies.
• Validation : une fois les modifications apportées, le script récupère les stratégies de mot de passe mises à jour et les compare aux paramètres pour s’assurer que la configuration est correcte.

Cas d’utilisation potentiels

Étude de cas : imaginez un professionnel de l’informatique, Seb, qui travaille dans une start-up en pleine expansion. À la suite d’un audit de cybersécurité, Seb se rend compte que les stratégies de mots de passe de nombreux comptes locaux sont faibles. Au lieu de manuellement mettre à jour chaque système, Seb déploie ce script sur tous les postes de travail, s’assurant ainsi que tous les appareils respectent désormais la longueur et l’ancienneté recommandées des mots de passe.

Comparaisons

La configuration manuelle par le biais des paramètres Windows ou des stratégies de groupe est une option, mais elle est faillible, elle prend du temps et elle ne convient pas aux environnements plus vastes. Des outils tiers offrent des fonctionnalités similaires, mais peuvent être plus complexes ou plus coûteux. Le script fourni offre une approche simple, rentable et évolutive.

FAQ

• Sur quelles versions de Windows le script fonctionne-t-il ? 
  Le script prend en charge Windows 10 et Windows Server 2016 ou ultérieur.
• Ai-je besoin de droits d’administrateur pour exécuter le script ? 
  Oui, le script nécessite des privilèges élevés pour modifier les stratégies de mot de passe.

Implications

Une mauvaise stratégie en matière de mots de passe peut entraîner des accès non autorisés, des violations de données et des infractions aux règles de conformité. En garantissant des exigences cohérentes et strictes en matière de mots de passe, les entreprises peuvent réduire considérablement ces risques et renforcer leur sécurité informatique.

Recommandations

• Révisez et mettez régulièrement à jour les stratégies relatives aux mots de passe afin de toujours avoir une longueur d’avance sur les menaces en constante évolution.
• Assurez-vous d’avoir effectué des sauvegardes avant d’appliquer des changements sur un grand nombre d’appareils.
• Associez ce script à d’autres outils d’automatisation pour une gestion informatique complète.

Conclusion

Dans un contexte où des mesures de sécurité performantes sont nécessaires, les outils qui facilitent les condition de la « Modification de la stratégie de mot de passe Windows » deviennent inestimables. Pour les entreprises qui souhaitent une approche rationalisée de la gestion de leurs actifs et configurations informatiques, des plateformes telles que NinjaOne peuvent fournir des solutions complètes. En intégrant de tels scripts dans des plateformes comme NinjaOne, les entreprises peuvent garantir des stratégies de mot de passe optimales, ce qui se traduit par une sécurité et une efficacité opérationnelle accrues.