用途：在 CockroachDB 集群上配置并强制执行密码策略，设置最小密码长度和 bcrypt 哈希成本，使密码强度满足组织与合规要求。适用场景包括满足 SOC 2、HIPAA、NIST 800-63B 等合规标准，新生产集群初始化，响应安全审计发现，以及提高哈希成本以增强对暴力破解的抵抗。
主要能力：查看与设置最小密码长度（server.user_login.min_password_length），配置 bcrypt 哈希成本（server.user_login.password_hashes.default_cost.crdb_bcrypt），验证策略是否生效，处理弱密码存量用户，管理密码修改与轮换，并排查常见密码错误。资料给出合规建议：NIST 800-63B、SOC 2、HIPAA 建议 8 位以上、推荐 12 位以上，PCI DSS 建议 7 位以上、推荐 12 位以上，内部最佳实践建议管理员账户 14 位以上；哈希成本默认 10，推荐生产使用 12，14 安全性更高但登录更慢。
使用方式：需具备 admin 角色的 SQL 访问权限。先检查当前设置：SHOW CLUSTER SETTING server.user_login.min_password_length; 与 SHOW CLUSTER SETTING server.user_login.password_hashes.default_cost.crdb_bcrypt;。设置最小长度示例：SET CLUSTER SETTING server.user_login.min_password_length = 12;。设置哈希成本示例：SET CLUSTER SETTING server.user_login.password_hashes.default_cost.crdb_bcrypt = 12;。可通过 CREATE USER 测试弱密码是否被拒绝。用户可用 ALTER USER CURRENT_USER WITH PASSWORD '<new-password>'; 修改自身密码，管理员可用 ALTER USER <username> WITH PASSWORD '<new-strong-password>'; 重置。回滚可将最小长度设为 1，并用 RESET CLUSTER SETTING 重置哈希成本。
限制与注意事项：密码策略变更仅影响新密码，不影响已有密码，短密码用户仍可登录直至更换。提高哈希成本会增加登录延迟，设置高于 12 前应使用真实连接池测试。bcrypt 输入上限为 72 字节，超长密码或多字节 Unicode 会报错。CockroachDB Cloud 控制台密码与 SQL 用户密码相互独立，修改一个不影响另一个。证书认证可绕过密码策略。资料未提供具体价格或收费信息。