Windows/AD/RACF环境下密码管理两大难题的解决方案求助

一、在Windows密码更改界面展示密码要求 #

• 自定义密码筛选器开发：Windows支持通过编写密码筛选器DLL嵌入AD的密码验证流程。该DLL可在用户触发密码更改（CTRL+ALT+DEL>更改密码）时，弹出自定义对话框展示AD和RACF的双重密码规则，同时完成密码合规性检查，完全基于Windows原生机制扩展。
• 预提醒补充方案：通过AD组策略配置登录脚本，用户每次登录时弹出窗口显示密码规则；或利用AD密码到期通知功能，在密码到期前5天通过系统弹窗推送规则说明，让用户提前知晓要求，减少更改密码时的错误。

二、对齐AD与RACF的密码规则 #

• 启用RACF密码同步工具的前置验证：多数商业化RACF-AD同步工具（如IBM官方密码同步组件）支持在AD端前置验证RACF规则。用户在Windows修改密码时，工具会先校验密码是否符合RACF的特殊字符、重复字符限制，不符合则直接拒绝修改并给出对应提示，避免同步到RACF后失效。
• 自定义AD密码筛选器：自行开发密码筛选器DLL，将RACF的密码规则（如禁止连续3次重复字符、限定特殊字符范围）写入筛选逻辑。AD处理密码更改请求时，会先调用该DLL验证密码，只有符合RACF规则的密码才能被AD接纳，从根源上解决同步兼容性问题。
• 微调RACF规则（若业务允许）：如果业务侧无强约束，可适当调整RACF密码策略，比如放宽特殊字符限制、调整重复字符检查阈值，尽量与AD组策略规则匹配，减少两者规则冲突。

内容的提问来源于stack exchange，提问作者user3921232