Microsoft Entra 密码保护是一项安全功能，可防止用户设置容易被猜中的密码，以增强组织的整体密码安全性。

注意：此 IoE 依赖 Microsoft Entra ID P1 或 P2 许可来<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-password-ban-bad#license-requirements">访问必要的数据</a>。如果您的租户没有所需的许可证（如 Entra ID 免费版），此 IoE 将不会返回发现结果。
Entra ID 利用 <a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-password-ban-bad">Microsoft Entra 密码保护</a>来缓解用户设置容易被猜中的密码所带来的风险，这些密码容易受到暴力攻击。此功能采用了全局禁用密码列表，该列表<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-password-ban-bad#:~:text=The%20global%20banned%20password%20list%20is%20automatically%20applied%20to%20all%20users%20in%20a%20Microsoft%20Entra%20tenant.%20There%27s%20nothing%20to%20enable%20or%20configure%2C%20and%20can%27t%20be%20disabled">默认启用且不可禁用</a>，其中包含常用的弱密码，并由 Microsoft 维护和定期更新。
尽管 Microsoft Entra 密码保护是一项基于云的功能，但组织可以按照“<a href="https://learn.microsoft.com/zh-cn/entra/identity/authentication/concept-password-ban-bad-on-premises">为 Active Directory 域服务强制执行本地 Microsoft Entra 密码保护</a>”中的描述，将其扩展到经典的本地 Active Directory（也称为“Windows Server Active Directory”）。组织通过在本地 Active Directory 域控制器上安装专用的 Microsoft 代理，同时通过基于云的 Entra 门户配置密码保护策略，来促进这一集成。
此风险暴露指标可评估两个决定 Microsoft Entra 密码保护在本地环境中的强制执行状态的设置：
<ul>
<li>“在 Windows Server Active Directory 上启用密码保护”应为“是”。</li>
<li>“模式”应为“强制”。</li>
</ul>
注意：
<ol>
<li>此 IoE 仅对与本地 Active Directory（即 Microsoft Entra Connect 或 Microsoft Entra Cloud Sync）同步的租户执行。其分析依据是<code>组织</code>的 <code>onPremisesSyncEnabled</code> 属性。</li>
<li>要为本地 Active Directory 域启用 Microsoft Entra 密码保护（如建议部分所述），组织需要在本地环境中的所有域控制器上部署代理。此 IoE 会检查 Entra ID 门户中的相关设置，但无法验证代理在本地 Active Directory 域控制器上的实际部署状态。因此可能会出现误报，即尽管代理未在所有 Active Directory 域控制器上完全部署或正常运行，但 Entra 中的配置看起来仍然合规。</li>
</ol>

检测

本地环境未启用密码保护

MEDIUM

版本 202510271638

版本 202411071130

版本 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
版本 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130