強制執行密碼規定及監控執行情況

密碼政策不適用的情況

• 若密碼是透過雜湊方法設定，Google 無法強制要求符合密碼強度和長度規定。例如，使用大量使用者上傳工具、Directory API 或同步工具 (如 Password Sync 或 Google Cloud Directory Sync) 建立的密碼，均屬此情況。詳情請參閱「Google Workspace Admin SDK」或「關於 Password Sync」。
• 管理員手動重設的使用者密碼，不受密碼強度與長度規定限制。當您手動重設密碼時，請務必勾選「要求使用者在登入時變更密碼」方塊。
• 若使用者是透過第三方識別資訊提供者 (IdP) 使用 SAML 或 OIDC 驗證，同樣不適用您設定的密碼政策。

高強度密碼的構成條件

如果您強制使用高強度密碼，Google 會使用密碼強度分級演算法確認密碼符合以下條件：

• 具有高度隨機性 (稱為「密碼熵」)；您可以使用一長串不同類型的字元，例如大小寫字母、數字和特殊字元

  注意：高強度密碼不要求特定類型字元的數量。

• 不是常用的低強度密碼，例如「123456」或「password123」
• 不是容易猜中的簡單字詞或片語，或和使用者名稱一樣的密碼
• 不是已知遭竊的密碼，即不在遭入侵帳戶的資料庫中

密碼到期設定的運作方式

由於研究顯示，定期更改密碼對提升安全性的效果有限，因此系統預設關閉此功能。如需符合法規要求，您可以設定使用者密碼的有效期限 (例如 90 或 180 天)。

密碼到期設定僅適用於透過瀏覽器登入的應用程式。若使用者僅使用手機，或透過 OAuth 驗證的應用程式登入，則不受此限制。

密碼防護警示

如果您設定了密碼有效期限，在密碼到期前 30 天，使用者會在 Gmail、日曆等 Google 服務中收到彈出式快訊 (而不是電子郵件提醒)。他們可以選擇立即變更密碼或關閉快訊，若未變更密碼，下次登入帳戶仍會收到快訊。當使用者關閉快訊 3 次後，快訊將不再出現，但在密碼過期後，使用者必須在下一次登入時更改密碼，才能繼續使用服務。

使用者何時需變更密碼

您首次設定密碼有效期限政策時，有些使用者可能會立即收到更改密碼的提示，有些使用者則暫時無需更改密碼，例如：

• 如果設定密碼效期為 90 天，而某位使用者上次更改密碼是在「100 天前」，則在您設定政策後，該使用者的密碼會立即失效，下次登入帳戶時會收到更改密碼的提示。
• 如果設定密碼效期為 90 天，而某位使用者在「30 天前」才換過密碼，則該密碼目前仍然有效。系統會在 60 天後，於該使用者下次登入時提示變更密碼。