Domainadmin aus der Kennwortrichtlinie ausklammern

Das ist recht simpel. Um die Domain Admins auszuklammern erstellst du eine OU mit allen anderen Usern, wirfst die Authentifizierten Benutzer aus der Sicherheitsfilterung raus, und setzt dafür die o.g. OU ein. Somit gilt die Policy für alle, bis auf die Domain Admins. Ein klarer Nachteil bei dieser vorgehensweise ist natürlich, dass neue User / Computer in die OU eingepflegt werden müssen, damit die Policy auch für sie gilt.

exakt so. Warum willst du gerade den Domainadmin da rauslassen? LG

Ich würde mir an dieser Stelle einfach einen Extra-Benutzer dafür anlegen und das nicht mit vollen Admin-Rechten, sondern nur den entsprechenden Rechten, um auf bestimmte Freigaben zuzugreifen.
Hierfür natürlich eine extra OU anlegen und die Kennwortrichtlinie herausnehmen. Auch gerade aus Revisions-Sicht wäre dann wichtig, diese Benutzer nicht mit vollen Rechten auszustatten (wie bereits erwähnt).

In einer 2003 Umgebung gibt es keine Möglichkeit alternierende Kennwortrichtlinienen zu erstellen.
Es gilt immer und für Alle die Richtlinie der "Default Domain Policy".
Das ist eine technische Beschränkung, die sich erst mit Server 2008 geändert hat.

Grüße

Max

Moin,

für Dienste, die Ihr ja habt, kann man Diensteaccounts anlegen, harte Paßwörter, Paßwort läuft nicht ab, Paßwort liegt im Safe

Gruß

24

Da ja die Meinungen schwer auseinandergehen unterstütze ich (größtenteils) dog.
Fakten am Rand:
-die Policy ist eine Computerpolicy - sie hat mit Userobjekten rein gar nichts zu tun
-die Kontendatenbank mit den Domänenkonten ist die jenige, auf die die Richtlinie in der Regel angewendet werden soll - sie liegt auf den DCs.
-die Policy, falls über die Default Domain Policy angewendet, greift sowohl für lokale als auch für Domänenkonten
-die Policy, falls über die Default Domain Controllers Policy angewendet (also nur auf den DCs), greift nur für Domänenkonten
-der Leitspruch "bis 2003 gilt: eine Kennwortpolicy pro Domäne" ist ungenau, er müsste lauten "bis 2003 gilt: eine Kennwortpolicy pro Domäne bezogen auf die Domänenkonten", denn für lokale Konten kann man beliebig viele Policies definieren.

Dennoch kannst Du für den Admin [exklusiv] festlegen (falls es das ist, was Du Dir erhoffst), dass sein Kennwort nie abläuft. Ganz einfach über die Eigenschaften des Benutzerobjektes.