peeBun_Security: การทำให้การ Login เข้า Windows แบบมี Password หมดอายุ (แบบทำทีละเครื่อง)

วัตถุประสงค์ :

1. ต้องการให้มี Password เข้าคอมพิวเตอร์ แล้วมีจำนวนวันที่หมดอายุ เช่น 90 วัน

2. ต้องการให้ User Login เข้าแล้วผิดกี่ครั้งเครื่องจึงจะ Lock ไม่ให้เข้า เช่น 5 ครั้ง

3. เมื่อใส่ Password ผิดเกิน 5 ครั้ง (ตามข้อที่ 2) ให้ตั้งเวลารอ 5 นาที ก่อนที่จะ Login ใหม่ได้อีก

4. กรณีที่เครื่องคอมพิวเตอร์ มี User มากกว่า 1 user เช่น User ทั่วไป กับ User Admin ต้องการให้ User Admin Password ไม่ต้องหมดอายุ ตาม User ทั่วไป (เพราะโดยหลักการใน 1 เครื่องการกำหนด จะควบคุม User ทั้งหมดในเครื่องคอมนั้นๆ)

อนึ่ง เนื่องจากไม่มีระบบ Server domain (AD) ที่สามารถ Control คอมพิวเตอร์หลายๆ เครื่อง ไว้ที่เครื่อง Center ได้ จึงจำเป็นต้องไป Set account policy ในแต่ละเครื่องคอมพิวเตอร์เองทุกเครื่อง ดังนี้

กำหนด Account Policy

1. คลิก Start > พิมพ์ secpol.msc

2. คลิก Account Policies > เลือก Password Policy

# Enforce password history คือ ระบบจะจำ password เดิมที่เคยตั้งไว้กี่ครั้ง เพื่อกันไม่ ให้ user ตั้ง password เดิม เช่น ตั้งไว้ 1
# Maximum password age คือ อายุสูงสุดของ password 90 วัน

# Minimum password age คือ อายุต่ำสุดของ password = 0 กี่วัน

# Minimum password length คือ กำหนดจำนวนตัวอักษรต่ำสุดกี่ตัวสำหรับการตั้ง password 4 ตัว
# Password must meet complexity
requirements คือ กำหนดให้ password ต้องมีทั้ง อักษรอังกฤษ ตัวใหญ่ ตัวเล็ก ตัวเลข และสัญลักษณ์หรือไม่ Disable

3. คลิก Account Policies > เลือก Account Lockout Policy

# Account lockout duration คือ กำหนดเวลา lock เมื่อ Login ผิด 5 ครั้ง จะต้องรอก่อนจะ Login ได้ใหม่ที่ 5 นาที

# Account lockout threshold คือ ใส่ password ได้ไม่เกิน 5 ครั้ง ถึงจะ lock
# Reset account lockout counter after คือ รีเซ็ตตัวนับการล็อกบัญชีหลังจาก 5 นาที