Politica della password

Si applica a:SQL Server

SQL Server può utilizzare i meccanismi dei criteri per le password di Windows. I criteri per le password si applicano a un account di accesso che usa l'autenticazione SQL Server e a un utente di database contenuto con password.

SQL Server può applicare la stessa complessità e gli stessi criteri di scadenza usati in Windows alle password usate all'interno di SQL Server. Questa funzionalità dipende dall'API NetValidatePasswordPolicy.

Complessità delle password

I criteri di complessità delle password sono progettati per fungere da deterrente agli attacchi a forza bruta aumentando il numero di password possibili. Quando vengono applicati i criteri di complessità delle password, le nuove password devono soddisfare i requisiti seguenti:

• La password non contiene il nome account dell'utente.

• Devono essere composte da almeno otto caratteri.

• La password deve contenere caratteri di tre delle quattro categorie seguenti:

  • Lettere maiuscole latine (A da a Z)
  • Lettere minuscole latine (a da a z)
  • Base 10 cifre (0 da a 9)
  • Caratteri non alfanumerici, ad esempio: punto esclamativo (!), segno di dollaro ($), segno di numero () o percentuale (#%).

Le password possono contenere fino a 128 caratteri. Usare password il più possibile lunghe e complesse.

Scadenza della password

I criteri di scadenza delle password consentono di gestire l'intervallo di validità di una password. Quando SQL Server applica i criteri di scadenza delle password, gli utenti ricevono un promemoria per la modifica delle vecchie password e gli account con password scadute vengono disabilitati.

Imposizione dei criteri

L'applicazione dei criteri delle password può essere configurata separatamente per ogni login di SQL Server. Usare ALTER LOGIN per configurare le opzioni dei criteri password di un account di accesso SQL Server. Le seguenti regole si applicano alla configurazione dell'applicazione dei criteri delle password:

• Quando CHECK_POLICY viene modificato in ON, si verificano i comportamenti seguenti:

  • CHECK_EXPIRATION è impostato anche su ON a meno che non sia impostato in modo esplicito su OFF.
  • La cronologia delle password viene inizializzata con il valore dell'hash della password corrente.
  • Sono inoltre abilitate anche le opzioni Durata del blocco dell'account, Soglia di blocco dell'account e Reimposta il contatore del blocco dell'account dopo.

• Quando CHECK_POLICY viene modificato in OFF, si verificano i comportamenti seguenti:

  • CHECK_EXPIRATION è anche impostato su OFF.
  • Viene cancellata la cronologia delle password.
  • Viene reimpostato il valore di lockout_time .

Alcune combinazioni di opzioni dei criteri non sono supportate.

• Se MUST_CHANGE è specificato e CHECK_EXPIRATIONCHECK_POLICY deve essere impostato su ON. In caso contrario, l'istruzione non riesce.

• Se CHECK_POLICY è impostato su OFF, CHECK_EXPIRATION non è possibile impostare su ON. Un'istruzione ALTER LOGIN con questa combinazione di opzioni ha esito negativo.

• L'impostazione CHECK_POLICY = ON impedisce la creazione di password che sono:

  • Null o vuoto
  • Equivalenti al nome del computer o dell'account di accesso
  • Uno qualsiasi dei seguenti: password, admin, administrator, sa, sysadmin

I criteri di sicurezza possono essere impostati in Windows o essere ricevuti dal dominio. Per visualizzare i criteri delle password nel computer in uso, utilizzare lo snap-in MMC Criteri di sicurezza locali (secpol.msc).

Controllare le informazioni sui criteri password degli utenti SQL

È possibile esaminare i criteri password dell'utente SQL e le date di scadenza in SQL Server usando la query seguente. Anche se la query seguente funziona anche nel database SQL di Azure, nel database SQL di Azure viene applicata solo la complessità delle password.

SELECT name,
       is_policy_checked,
       is_expiration_checked,
       LOGINPROPERTY(name, 'IsMustChange') AS IsMustChange,
       LOGINPROPERTY(name, 'IsLocked') AS IsLocked,
       LOGINPROPERTY(name, 'LockoutTime') AS LockoutTime,
       LOGINPROPERTY(name, 'PasswordLastSetTime') AS PasswordLastSetTime,
       LOGINPROPERTY(name, 'IsExpired') AS IsExpired,
       LOGINPROPERTY(name, 'BadPasswordCount') AS BadPasswordCount,
       LOGINPROPERTY(name, 'BadPasswordTime') AS BadPasswordTime,
       LOGINPROPERTY(name, 'HistoryLength') AS HistoryLength,
       modify_date
FROM sys.sql_logins;

Attività correlate

• CREATE LOGIN
• ALTER LOGIN
• CREATE USER
• ALTER USER
• Creare un account di accesso
• Creare un utente del database

Contenuto correlato

• Password forti