验证现有用户的密码策略

我最近进入一种环境，其中许多数据库登录都未enforce_password_policy启用该标志。
即将进行的审核需要验证这些登录名的密码。

我使用以下查询来获取登录列表以及这些标志是打开还是关闭。

select 
    @@SERVERNAME as servername, 
    name, 
    IS_SRVROLEMEMBER('sysadmin', name) as SYSADMIN,
    type_desc,
    create_date,
    is_policy_checked,
    is_disabled,
    password_hash,
    PWDCOMPARE(name, password_hash) as UsernameAsPassword
FROM sys.sql_logins

但是，这并不能告诉我密码是否实际上遵守密码策略，因为该标志仅在创建用户时才相关。

有已知的方法来测试现有用户的密码策略遵从性吗？
我无法访问旧密码，因此我希望使用不需要它们的方法。

这在您的用户中可能并不流行，但是我相信您唯一可以确定的方法是对每次SQL登录强制使用更改密码CHECK_POLICY = ON。这将生成一组ALTER LOGIN密码为空的命令，您可以更新查询，为它们提供一个通用密码，也可以使用单个密码手动更新每个密码-只需确保它们符合您的策略即可。当然，您需要确保密码策略与您期望的一样复杂，并且已启用（控制面板>管理工具>本地安全策略>帐户策略>密码策略>密码必须满足复杂性要求）。

SELECT N'ALTER LOGIN ' + QUOTENAME(name) 
  + N' WITH PASSWORD = N'''' MUST_CHANGE, CHECK_POLICY = ON;' 
  FROM sys.sql_logins 
  --WHERE is_policy_checked = 0;

史蒂夫·琼斯（Steve Jones）不久前就写了这个。请注意-由于我在下面发现的内容-您不能依靠它is_policy_checked = 1来表示密码实际上符合您当前的政策，因为登录名可能是使用哈希密码创建的（在这种情况下，纯文本密码不能选中）或禁用了本地复杂度策略（仍会导致is_policy_checked = 1）。

我认为可行的另一种方法是尝试为每个登录名创建一个副本，其当前值为password_hash和CHECK_POLICY = ON，并记录每个失败的登录名。但是，这是行不通的 -即使使用CHECK_POLICY = ON，它也不会对已散列的密码进行任何验证。我将包括后代代码-但是，从设计上讲，根本无法检查该政策。

SELECT N'BEGIN TRY
  CREATE LOGIN ' + QUOTENAME(N'copy_of_' + name) 
    + N' WITH PASSWORD = ' 
    + CONVERT(NVARCHAR(255), password_hash, 1)
    + ' HASHED, CHECK_POLICY = ON;
  DROP LOGIN ' + QUOTENAME(N'copy_of_' + name) + ';
END TRY
BEGIN CATCH
  IF ERROR_NUMBER() = 15118
    PRINT N''' + REPLACE(name, '''', '''''') 
      + N' was not complex enough.'';
END CATCH'
FROM sys.sql_logins;

我个人认为这是一个错误。如果该语法允许我使用哈希密码创建登录名，并且可以规定该密码必须符合我的复杂性策略，则它应该会产生错误或警告，表明实际上未检查该策略。

更新：我针对此行为提出了一个错误。

• CHECK_POLICY是禁止操作，带有CREATE LOGIN ... PASSWORD ... HASHED

您不可能获得100％的准确度。尽管您可以PWDCOMPARE用来检查弱密码列表（您可以将其添加到弱密码列表中并进行比较）。

我已经编写了一个类似的脚本来进行比较并为您提供结果。我已将其发布在github上。

编辑：

现在，您可以在csv中拥有一个弱密码列表，然后将dbatools Test-DbaLoginPassword与-Dictionaryswitch 配合使用 （指定要包含在弱密码测试中的密码列表。）

每个SQL登录名的密码策略仅是打开或关闭的标志。如果选中了密码策略标志，则将强制执行操作系统中的Windows密码策略。

有关设置CHECK_POLICY和CHECK_EXPIRATION时会发生的情况的详细信息，请查看CREATE LOGIN文档。

您可以通过检查sys.sql_logins中的is_policy_checked和is_expiration_checked列来查看每个SQL用户的设置。

如下所示：

SELECT name,
create_date,
modify_date,
LOGINPROPERTY(name, 'DaysUntilExpiration') DaysUntilExpiration,
LOGINPROPERTY(name, 'PasswordLastSetTime') PasswordLastSetTime,
LOGINPROPERTY(name, 'IsExpired') IsExpired,
LOGINPROPERTY(name, 'IsMustChange') IsMustChange
From sys.sql_logins ;

对于SQL Server身份验证登录名：

select * from sys.server_principals where type in ('U','G') -将显示可以通过Windows身份验证访问SQL Server的登录名和组。