Active directory 密码历史记录统计当前有效密码？

LDAP/AD有一个密码策略，可以强制执行密码历史记录

但密码历史记录是否包括当前有效密码作为历史密码之一

问题: 1.AD是否将当前有效密码记录到密码历史记录中？

---

2.据我所知，OpenDJ不会将当前密码记录到历史记录中。为什么

问题2：密码历史记录是一种跟踪密码的机制，用于防止他在服务（或管理员）强制他在一定时间后更改其密码时重复使用N个最新密码中的一个。当前密码从不在历史记录中，因为历史记录代表以前的密码，而不是用于验证用户身份的密码。 OpenDJ默认情况下不启用密码历史记录，因为OpenDJ产品在许多不同的环境中使用，但通常在面向客户身份的场景中使用，在这些场景中，强制用户每N个月更改一次密码不是最佳做法，因此不必再阻止他们重复使用以前的密码。

---

请注意，NIST密码建议的最新版本指出，N个月后强制更改密码不再是最佳做法，因为这会导致用户使用易于记忆和猜测的密码，或者将密码写在POSIT笔记上（因为密码经常更改，因此很容易忘记）。相反，NIST建议服务需要更长的密码，但只有在密码有被泄露的风险时才进行更改。

谢谢Ludovic。我能理解OpenDj的行为。您知道Active Directory中的行为吗？抱歉，我不知道，但我假设它非常相似，并且基于LDAP密码策略Internet草稿中列出的思想。