AWS 관리형 Microsoft AD 암호 정책 이해

PDFRSS

AWS Managed Microsoft AD 를 사용하면 AWS 관리형 Microsoft AD 도메인에서 관리하는 사용자 그룹에 대해 세분화된 암호 및 계정 잠금 정책(세분화된 암호 정책이라고도 함)을 다양하게 정의하고 할당할 수 있습니다. AWS 관리형 Microsoft AD 디렉터리를 생성하면 기본 도메인 정책이 생성되어 이 Active Directory에 적용됩니다. 이 정책에는 다음 설정이 포함되어 있습니다.

정책	설정
암호 기록 강제 시행	24개 암호 저장
최대 암호 수명	42일 *
최소 암호 수명	1일
최소 암호 길이	7자
암호가 복잡성 요구 사항을 충족해야 함	활성화됨
해독 가능한 암호화를 사용하여 암호 저장	Disabled(비활성)

참고

* 최대 42일의 암호 수명에는 admin 암호가 포함됩니다.

예를 들어 중요도가 낮은 정보에만 액세스할 수 있는 직원에게 덜 엄격한 정책 설정을 할당할 수 있습니다. 정기적으로 기밀 정보에 액세스하는 고위 관리자에 대해서는 더 엄격한 설정을 적용할 수 있습니다.

다음 리소스는 Microsoft Active Directory 세분화된 암호 정책 및 보안 정책에 대한 자세한 정보를 제공합니다.

• 보안 정책 설정 구성

• 암호 복잡성 요구 사항

• 암호 복잡성 보안 고려 사항

AWS는 AWS Managed Microsoft AD에서 그룹에 대해 구성 및 할당할 수 있는 일련의 세분화된 암호 정책을 제공합니다. Microsoft정책을 구성하려면 Active Directory Administrative Center와 같은 표준 Microsoft 정책 도구를 사용할 수 있습니다. Microsoft 정책 도구를 시작하려면 AWS 관리형 Microsoft AD용 Active Directory 관리 도구 설치을 참조하세요.

암호 정책 적용 방법

암호 재설정 또는 변경 여부에 따라 세분화된 암호 정책이 적용되는 방식에는 차이가 있습니다. 도메인 사용자는 본인의 암호를 변경할 수 있습니다. 필요한 권한을 가진 Active Directory 관리자 또는 사용자는 사용자 암호를 재설정할 수 있습니다. 자세한 정보는 다음 차트를 참조하세요.

정책	암호 재설정	암호 변경
암호 기록 강제 시행	아니요	예
최대 암호 수명	예	예
최소 암호 수명	아니요	예
최소 암호 길이	예	예
암호가 복잡성 요구 사항을 충족해야 함	예	예

이러한 차이는 보안에 영향을 미칩니다. 예를 들어 사용자의 암호가 재설정될 때마다 암호 적용 기록과 최소 암호 기간 정책은 적용되지 않습니다. 자세한 내용은 비밀번호 기록 및 최소 비밀번호 사용 기간 정책 시행과 관련된 보안 고려 사항에 대한 Microsoft 문서를 참조하세요.

지원되는 정책 설정

AWS Managed Microsoft AD에는 편집 불가능한 우선순위 값이 지정된 5가지의 세분화된 정책이 포함되어 있습니다. 각 정책에서 다수의 속성을 구성하여 암호 강도와 로그인 실패 시 계정 잠금 동작을 적용할 수 있습니다. 정책을 0개 이상의 Active Directory 그룹에 할당할 수 있습니다. 최종 사용자가 여러 그룹의 멤버이고 복수의 암호 정책을 할당 받은 경우 Active Directory가 가장 낮은 우선 순위 값의 정책을 적용합니다.

AWS 사전 정의된 암호 정책

다음 표에는 AWS Managed Microsoft AD 디렉터리에 포함된 5가지 정책과 각각에 할당된 우선 순위 값이 나와 있습니다. 자세한 내용은 우선 순위 단원을 참조하십시오.

정책 이름	우선 순위
CustomerPSO-01	10
CustomerPSO-02	20
CustomerPSO-03	30
CustomerPSO-04	40
CustomerPSO-05	50

암호 정책 속성

비즈니스 요구 사항을 충족하는 규정 준수 표준을 준수하기 위해 암호 정책에서 다음 속성을 편집할 수 있습니다.

• 정책 이름

• 암호 기록 강제 시행

• 최소 암호 길이

• 최소 암호 수명

• 최대 암호 수명

• 해독 가능한 암호화를 사용하여 암호 저장

• 암호가 복잡성 요구 사항을 충족해야 함

이러한 정책에서 우선 순위 값을 수정할 수 없습니다. 이러한 설정이 암호 적용에 미치는 영향에 대한 자세한 내용은 Microsoft TechNet 웹 사이트의 AD DS: 세분화된 암호 정책을 참조하세요. 이러한 정책에 대한 일반 정보는 Microsoft TechNet 웹 사이트의 Password policy를 참조하세요.

계정 잠금 정책

암호 정책에서 다음 속성을 수정하여 로그인 실패 시 Active Directory가 계정을 잠글지 여부 및 방법을 지정할 수도 있습니다.

• 로그인 시도 실패 허용 횟수

• 계정 잠금 기간

• 일정 기간 후 로그인 시도 실패 횟수 재설정

이러한 정책에 대한 일반 정보는 Microsoft TechNet 웹 사이트의 계정 잠금 정책을 참조하세요.

우선 순위

우선 순위 값이 낮은 정책일수록 우선 순위가 높아집니다. Active Directory 보안 그룹에 암호 정책을 할당합니다. 단일 보안 그룹에 단일 정책을 적용해야 하지만 단일 사용자가 복수의 암호 정책을 할당 받을 수 있습니다. 예를 들어 jsmith가 HR 그룹의 멤버이자 MANAGERS 그룹의 멤버라고 가정합시다. CustomerPSO-05(우선 순위 값 50)를 HR 그룹에 할당하고 CustomerPSO-04(우선 순위 값 40)를 MANAGERS에 할당한 경우, CustomerPSO-04의 우선 순위가 더 높으므로 Active Directory가 이 정책을 jsmith에 적용합니다.

특정 사용자 또는 그룹에 여러 정책을 할당하는 경우 Active Directory는 다음과 같이 적용할 정책을 결정합니다.

1. 사용자 객체에 직접 할당한 정책이 적용됩니다.

2. 사용자 객체에 직접 할당된 정책이 없는 경우 그룹 멤버십으로 인해 사용자에게 할당된 모든 정책 중 우선 순위 값이 가장 낮은 정책이 적용됩니다.

자세한 내용은 Microsoft TechNet 웹 사이트의 AD DS: 세분화된 암호 정책을 참조하세요.

주제

• AWS 관리형 Microsoft AD 사용자에게 암호 정책 할당

• AWS 관리형 Microsoft AD 암호 정책을 관리할 수 있는 사용자 위임

관련 AWS 보안 블로그 문서

• AWS Managed Microsoft AD용 AWS Directory Service를 사용하여 보안 표준을 충족하기 위한 더욱 강력한 암호 정책을 구성하는 방법