密碼政策模板：Microsoft 365 與 NIST 設定對照

簡短回答： 今天好的密碼政策很精簡，只對關鍵之處嚴格：密碼夠長、攔截已知的弱密碼、啟用多重要素驗證（MFA）、除非有外洩證據，否則不強制定期更改密碼。NIST SP 800-63B 第 4 版和微軟對 Microsoft 365 的指引方向一致。下面是可以直接貼進政策文件的模板，每一條都標出對應的 Entra 或 Microsoft 365 設定。

本文寫給需要草擬或更新公司密碼政策、並讓 Microsoft 365 真正執行的負責人、財務主管和 IT 負責人。讀完你會得到一份模板、準確的管理員操作和 PowerShell 指令，以及一份「Microsoft 365 做不到理想寫法」的清單。

內容已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。NIST 部分，我們同日閱讀了 SP 800-63B 第 4 版（日期 2025 年 8 月 26 日），頁面為 pages.nist.gov/800-63-4/sp800-63b.html。

NIST SP 800-63B 第 4 版對密碼怎麼說

這不是合規聲明，只是對標準內容的概述。只列出會改變你寫法的要點，措辭來自第 4 版原文。

長度： 作為唯一驗證要素的密碼，至少 15 個字符。只作為多重要素驗證一部分的密碼可以短一些，但至少 8 個字符。
最大長度： 系統應允許至少 64 個字符。
組成規則： 系統不得強加組成規則，例如要求混用字符類型。
有效期： 標準要求驗證方不得要求定期更改密碼，但有證據顯示密碼已外洩時必須強制更改。
黑名單： 新密碼必須與常用、可預期或已外洩的密碼清單比對。
易用性： 系統應允許貼上，讓密碼管理器可用，並應接受 Unicode 字符。

NIST：驗證方"SHALL NOT require subscribers to change passwords periodically."

政策模板

複製到你的政策文件，修改方括號內的內容。

適用範圍： 本政策適用於所有登入[公司]系統的同事、外判人員和服務供應商。
最短長度： 密碼至少 [14] 個字符。不使用多重要素驗證的密碼至少 15 個字符。（由於第 7 條要求支援 MFA 的帳戶一律啟用，這條 15 個字符的要求只適用於無法使用 MFA 的帳戶。）
密碼短語： 鼓勵使用由幾個不相關詞語組成的長密碼短語。系統必須接受至少 64 個字符的密碼。
不設組成規則： 不要求符號、大寫或數字，因為這類規則會把人推向可預測的寫法。
禁用密碼： 常見密碼清單上的密碼，以及包含[公司名稱]、產品名稱、辦公室地點的密碼，一律不允許。
不定期過期： 密碼不按時間表過期。懷疑或確認外洩時必須立即更改。
多重要素驗證： 所有支援 MFA 的帳戶必須啟用。電郵、VPN 和管理員存取絕不只靠密碼保護。
禁止重用： 同事不得把公司密碼用於其他網站或服務。
密碼管理器： 同事可使用公司批准的密碼管理器，並可在登入欄位貼上密碼。
共用： 絕不透過電郵、即時通訊或紙條共用密碼。共用帳戶須使用批准的保管庫。
鎖定與重設： 多次輸入錯誤會短時間鎖定帳戶。用戶驗證身份後透過自助密碼重設（SSPR）自行重設。
特權帳戶： 管理員使用獨立的管理員帳戶並啟用 MFA，不用它收發電郵或瀏覽網頁。
事故處理： 同事發現疑似外洩須立即通報[IT 聯絡人]。IT 重設密碼、撤銷會話並檢查登入記錄。
覆核： 本政策每 [12] 個月覆核一次。

Microsoft 365 能做到甚麼、做不到甚麼

Microsoft Learn 說明，僅雲端的 Microsoft 365 帳戶使用預先定義、無法更改的密碼政策，你只能修改密碼多少天過期，以及是否過期。所以與模板相比有四處差距：

複雜度： Entra 密碼政策要求四類字符（小寫、大寫、數字、符號）中至少三類，長度 8 至 256 個字符，無法關閉。NIST 主張不設組成規則，所以模板這一條只能靠培訓和 MFA 去達成。
長度： 微軟自己的建議是最少 14 個字符，儘管 Microsoft 365 本身只要求至少 8 個。用用戶指引、自訂禁用清單和 MFA 來補這個差距。
有效期： 微軟最新指引不鼓勵對僅雲端帳戶設定過期，建議密碼永不過期。租戶預設值是不過期，但 2021 年以前建立的租戶預設為 90 天。
Unicode： NIST 說驗證方應接受 Unicode 字符，但 Learn 列出 Unicode 字符不允許用於 Entra 密碼。

同步帳戶有所不同：預設只有未經 Microsoft Entra Connect 同步的帳戶，才能設為密碼不過期。

對應的 Microsoft 365 與 Entra 設定

1. 攔截弱密碼與公司專屬詞語

Microsoft Entra ID 已有全域禁用密碼清單。加入自己的詞語：

以至少 Authentication Policy Administrator 的身份登入 Microsoft Entra admin center。
前往 Entra ID > Authentication methods > Password protection。
把 Enforce custom list 設為 Yes。
每行填一個詞：公司名稱、產品名稱、辦公室地點、內部縮寫。清單最多 1,000 個詞，每個 4 至 16 個字符，不分大小寫，並涵蓋常見替換（例如 "o" 與 "0"）。
選擇 Save。變更可能需要數小時才生效。

自訂清單至少需要 Microsoft Entra ID P1 授權。

2. 停止定期過期

先找出誰仍在定期過期，再把密碼設為永不過期，需要 User Administrator 或更高權限。先拿一個用戶試行。

Connect-MgGraph -Scopes "User.ReadWrite.All","Domain.Read.All"
# 目前誰設定了「永不過期」
Get-MgUser -All -Property UserPrincipalName, PasswordPolicies |
  Select-Object UserPrincipalName,
  @{N="PasswordNeverExpires";E={$_.PasswordPolicies -contains "DisablePasswordExpiration"}}
# 先設一個用戶，再設所有用戶
Update-MgUser -UserId <user ID> -PasswordPolicies DisablePasswordExpiration
Get-MgUser -All | ForEach-Object { Update-MgUser -UserId $_.Id -PasswordPolicies DisablePasswordExpiration }

執行 Get-MgDomain | Format-List 並讀取 PasswordValidityPeriodInDays，可查看租戶層面的設定（Learn 的示例輸出中，沒有設定過期的域名顯示為 2147483647）。這需要 Domain.Read.All 權限，所以上面的 scopes 已包括它。針對所有用戶的設定指令對同步帳戶會報錯，因為預設不能這樣設定。這樣設定的密碼仍按 LastPasswordChangeDateTime 屬性計算密碼年齡。日後如果改回過期，所有上次更改超過 90 天的用戶下次登入時都必須更改密碼。

3. 要求 MFA

按我們的 Microsoft 365 啟用 MFA 指南操作，再設定 6 條基礎條件式存取政策。實際推行案例可參考香港會計師事務所的 MFA 推行。

4. 鎖定與自助重設

預設情況下，輸入錯誤密碼 10 次會鎖定帳戶一分鐘，之後再失敗鎖定時間會增加。智慧鎖定（smart lockout）不會為重複輸入同一個錯誤密碼累加計數。閾值和時長可以自行設定。管理員帳戶預設啟用自助密碼重設，採用無法更改的「雙重驗證門」政策，並禁止使用安全問題。

常見錯誤

「為求穩妥」保留 90 天過期。 NIST 和微軟都不建議定期過期，Learn 也指出強制更改會讓人用可預測的密碼。
寫了 Microsoft 365 執行不了的條款。 如果政策寫「不設複雜度規則」，請註明 Entra 的例外，避免審閱人和同事混淆。
跳過禁用清單。 全域清單不認識你的公司名稱和辦公室所在的街道。
第一天就全租戶設定永不過期。 先測試，並了解同步帳戶的行為不同。
忘了管理員和服務帳戶。 管理員使用獨立帳戶並啟用 MFA，服務帳戶使用保管庫內的長隨機密鑰。
只靠密碼。 沒有 MFA，15 個字符的密碼也擋不住釣魚。

怎樣確認做成了

用測試用戶登入，嘗試設定含公司名稱的密碼，確認被拒絕。
執行上面的 Get-MgUser 指令，確認「永不過期」一欄與你的決定一致。
查看 Entra ID > Authentication methods > Password protection，確認 Enforce custom list 為 Yes。
對測試帳戶連續輸入 10 個不同的錯誤密碼（預設閾值；重複輸入同一個錯誤密碼不計數），確認鎖定行為與政策一致。
用我們 MFA 指南內的指令匯出尚未登記 MFA 的用戶並跟進。Microsoft 365 安全審計可以為整個租戶提供獨立檢查。