winit3264
Aug 29, 2014
view11546
view24
0
Goto Top

Ändern eines AD Passworts von einem Notebook ausserhalb der Domäne

GermanQuestionWindows NetworkMicrosoft
Hallo zusammen,

folgendes Szenario. Wir haben zwei Mitarbeiter mit einem Notebook und einem lokalen Konto. In der Active Directory auf dem Domänencontroller sind die beiden aber auch mit einem Passwort hinterlegt. Wie kann ich erreichen dass der Nutzer das AD Passwort ändern kann wenn er mit seinem Notebook am Firmennetzwerk hängt? Er meldet sich dann aber immer noch lokal am Rechner an. Ich habe es mit net user xxxxx * /domain versucht aber dann sagt er er kenne die Domäne nicht. Bin über jede Hilfe dankbar.

Mfg.,

Dennis
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 247768

Url: https://administrator.de/contentid/247768

Printed on: April 24, 2024 at 16:04 o'clock

24 Comments
Latest comment
Goto Top
Member: ITvortex
ITvortex Aug 29, 2014 updated at 07:36:32 (UTC)
Goto Top
Guten Morgen.

Anmeldung: domainname\user


Gruß
ITvortex

Nachtrag: Ist der Rechner überhaupt in der Domain?
Member: winIT3264
winIT3264 Aug 29, 2014 at 08:12:41 (UTC)
Goto Top
Nein der Rechner ist nicht in der Domain, das ist es ja.
Member: ITvortex
ITvortex Aug 29, 2014 updated at 08:18:05 (UTC)
Goto Top
Und wieso hängst du das Notebook nicht in die Domain?

Ich glaube ich verstehe erst jetzt gerade was du da vorhast *gg*

Du willst das lokale Konto mit dem AD Konto in der Zeit wo der User im Firmennetzwerk ist verbinden?
Member: winIT3264
winIT3264 Aug 29, 2014 at 09:33:39 (UTC)
Goto Top
Ja, ist ein Vertriebler. Notebooks sind nach Firmenrichtlinie nicht in der Domäne.
Member: DerWoWusste
DerWoWusste Aug 29, 2014 at 10:36:53 (UTC)
Goto Top
Und das Notebook in die Dom. aufzunehmen wäre nicht möglich, weil...?
Member: winIT3264
winIT3264 Aug 29, 2014 at 12:32:12 (UTC)
Goto Top
Nicht gewollt von der Firma. Muss respektiert werden.
Member: ITvortex
ITvortex Aug 29, 2014 at 12:45:48 (UTC)
Goto Top
Das wird dann so nicht funktionieren. Was für ein Sinn hätte es den eine Domäne einzurichten und diese nach außen zu sichern wenn eh sowieso jeder trotzdem darauf zugreifen kann ? face-smile
Member: DerWoWusste
DerWoWusste Aug 29, 2014 at 13:06:14 (UTC)
Goto Top
Es ist ja gerade nicht "jeder", er hat ja domain-credentials.
Dennoch wird das so nichts werden, es sei denn Du arbeitest mit Workarounds, wie remote-Kommandos (psexec), dafür bräuchtest Du jedoch Adminrechte auf den Zielsystemen.
Member: jsysde
jsysde Aug 29, 2014 updated at 13:10:17 (UTC)
Goto Top
Moin.
Zitat von @winIT3264:
Wie kann ich erreichen dass der Nutzer das AD Passwort ändern kann

Citrix am Start? OWA am Start?
Beides Möglichkeiten, per Webbrowser sein Domain-Kennwort zu ändern.

Cheers,
jsysde

P.S.:
Interner Terminalserver am Start?
Darüber ginge es auch.
Member: winIT3264
winIT3264 Aug 29, 2014 at 13:16:06 (UTC)
Goto Top
Hallo jsysde,

Citrix nein, internter Terminalserver nein, OWA ja ist vorhanden bei jedem User. Bin gespannt.

@DerWoWusste

würde auch mit Workarounds arbeiten...
Member: jsysde
jsysde Aug 29, 2014 at 13:20:23 (UTC)
Goto Top
Moin.
Zitat von @winIT3264:
OWA ja ist vorhanden bei jedem User. Bin gespannt.
User am OWA anmelden lassen mit seinem Domain-Account => Options => Change My Password

Cheers,
jsysde
Member: DerWoWusste
DerWoWusste Aug 29, 2014 at 13:37:23 (UTC)
Goto Top
Ja, Workarounds habe ich genannt: psexec. Damit kannst Du Dein Kommando remote an einem Dom-Rechner ausführen. Oder gleich interaktiv via RDP.
Member: winIT3264
winIT3264 Aug 29, 2014 updated at 14:16:13 (UTC)
Goto Top
Versteh nicht. Angenommen die Firma heißt Global. Domäne ist GLOBAL.LOCAL und OWA ist eine Web Anwendung. Wenn ich den Benutzer Casten Schmidt dort normal anmelde mit cscmidt@global.de dann geht das. Anmeldung akzeptiert. Wenn ich aber versuche ihn mit global.local\cschmidt@global.de oder global\cschmidt@global.de anzumelden dann akzeptiert OWA das nicht... Benutzerkonto nicht vorhanden meckert es.
Member: jsysde
jsysde Aug 29, 2014 updated at 14:17:23 (UTC)
Goto Top
Moin.

Für jeden AD-User existieren zwei Anmeldemöglichkeiten:
NETBIOSNAME\user oder user@fqdn.domain - eine Kombination von beidem ist nicht möglich.

Du müsstest ihn also als cschmidt@global.de anmelden (was ja funktioniert) oder als NETBIOSNAME\cschmidt (der NETBIOS-Name kann keinen Punkt enthalten, deswegen wäre er, wenn er beim Erstellen des AD nicht geändert wurde, bei dir LOCAL).

Cheers,
jsysde
Member: winIT3264
winIT3264 Aug 29, 2014 at 14:18:38 (UTC)
Goto Top
Nöh, das funktioniert nicht. OWA verlangt in der Anmeldemaske eine eMail Adresse. Alles andere wird scheinbar nicht toleriert....
Member: jsysde
jsysde Aug 29, 2014 updated at 14:21:21 (UTC)
Goto Top
Moin.
Zitat von @winIT3264:

Nöh, das funktioniert nicht. OWA verlangt in der Anmeldemaske eine eMail Adresse. Alles andere wird scheinbar nicht
toleriert....

Welche OWA-/Exchange-Version setzt ihr denn ein?
Ausserdem:
mit cscmidt@global.de dann geht das. Anmeldung akzeptiert.
Wo also ist das Problem?

Cheers,
jsysde

P.S.:
Schau dir mal die Eigenschaften eines AD-Users an, Registerkarte ACCOUNT. Dort siehst du die nutzbaren Anmeldenamen.
Member: winIT3264
winIT3264 Aug 29, 2014 at 14:22:36 (UTC)
Goto Top
Office365 (outlook.office365.com)

Wo das Problem ist? Wenn ich nur mit cschmidt@global.de in der WEB Anwendung einlogge, wie soll ich denn von dort aus das AD PAsswort ändern können?
Member: jsysde
jsysde Aug 29, 2014 at 14:24:13 (UTC)
Goto Top
Moin.
Zitat von @winIT3264:

Office365 (outlook.office365.com)

Wo das Problem ist? Wenn ich nur mit cschmidt@global.de in der WEB Anwendung einlogge, wie soll ich denn von dort aus das AD
PAsswort ändern können?

Klassisches Mistverständnis. face-wink
Ich bin davon ausgegangen, dass ihr den Exchange lokal stehen habt, nicht in der Cloud. Dann vergiss das mit OWA einfach wieder.

Bleibt der Weg, interaktiv per RDP, wie @DerWoWusste vorgeschlagen hat.

Cheers,
jsysde
Member: winIT3264
winIT3264 Aug 29, 2014 at 14:26:23 (UTC)
Goto Top
ok, danke
Member: emeriks
emeriks Aug 29, 2014 at 14:45:29 (UTC)
Goto Top
Hi,
eine bescheidene Lösung könnte auch noch sein, diesen Benutzern dafür jeweils an angepasstes Script bereitzustellen.
z.B. VBscript

Nur ne einfache Lösung. Habe ich schnell mal "zusammengezimmert".
Zeilen 23 & 24 müsstest Du anpassen.

On Error Resume Next
Const ADS_SECURE_AUTHENTICATION = 1
Dim oAD : Set oAD = GetObject("LDAP:")   

Dim aPW : aPW = InputBox("Geben Sie das alte Passwort ein!", "altes Passwort", "")  
Dim nPW : nPW = ""  
Dim nPW2 : nPW2 = ""  

Do
  nPW = InputBox("Geben Sie das neue Passwort ein!", "Neues Passwort", "")  
  nPW2 = InputBox("Bestätigen Sie das neue Passwort!", "Neues Passwort", "")  
  If nPW2 <> nPW Then
    If MsgBox("Die Passwörter stimmen nicht überein!" & vbnewline & vbnewline & _  
              "Möchten Sie es erneut versuchen?", vbYesNo + vbQuestion, "Fehler") = vbNo Then  
      WScript.Quit
    End If
  Else
    Exit Do
  End If
Loop

Dim oUser : Set oUser = Nothing
Set oUser = oAD.OpenDSObject("LDAP://CN=DerBenutzer,OU=DieOrgEinheit,DC=domain,DC=tld", _  
                             "DOMAIN\Benutzer", aPW, ADS_SECURE_AUTHENTICATION)  
If Not oUser Is Nothing Then
  Err.Clear
  oUser.ChangePassword aPW, nPW
  If Err.Number = 0 Then
    MsgBox "Das Passwort wurde erfolgreich geändert", vbInformation, "Erfolgreich"  
  Else
    MsgBox "Die Änderung des Passworts ist fehlgeschlagen!", vbExclamation, "Fehler!"  
  End If
Else
  MsgBox "Anmeldung mit altem Passwort ist fehlgeschlagen!" & vbNewLine & vbNewLine & _  
         "Das Passwort wurde NICHT geändert.", vbExclamation, "Fehler!"  
End If

Set oUser = Nothing
Set oAD = Nothing
aPW = ""  
nPW = ""  
nPW2 = ""

Mit Powershell geht das möglicherweise noch "schöner".

E.
Member: winIT3264
winIT3264 Aug 29, 2014 at 15:05:52 (UTC)
Goto Top
Oh, E. das sieht aber gut aus. Führe ich das mit Admin rechten auf dem Notebook des Vertrieblers aus?

Danke
Member: emeriks
emeriks Aug 29, 2014 at 15:09:10 (UTC)
Goto Top
Nein, der Benutzer selbst startet das.
Er muss sein altes AD-Passwort eingeben. Dann "holt er sich" mit seinem Benutzernamen + altem Passwort sein Benutzerobjekt (Zeile 23 + 24) und ändert es von Alt auf Neu ab (Zeile 27).
Vorausgesetzt der AD-Benutzer darf sein eigenes Kennwort ändern.
E.
heart1
Member: WolfgangHD
WolfgangHD Nov 03, 2018 at 21:58:45 (UTC)
Goto Top
Funktioniert das Passwört ändern mit dem Script auch, wenn das alte abgelaufen ist?
Und wenns keine OUs in der Domäne gibt, den OU-Eintrag einfach weglassen?
Member: emeriks
emeriks Nov 05, 2018 at 07:20:36 (UTC)
Goto Top
Zitat von @WolfgangHD:
Funktioniert das Passwört ändern mit dem Script auch, wenn das alte abgelaufen ist?
Wenn das Passwort abgelaufen ist - ja, wenn das Konto abgelaufen ist - nein.
Und wenns keine OUs in der Domäne gibt, den OU-Eintrag einfach weglassen?
Das bedeutet, das alle Konten im "Users" liegen? Dann eben deren Distinguished Name benutzen.

Beachte: CN=Users
Dim oUser : Set oUser = Nothing 
Set oUser = oAD.OpenDSObject("LDAP://CN=DerBenutzer,CN=Users,DC=domain,DC=tld", _   
                             "DOMAIN\Benutzer", aPW, ADS_SECURE_AUTHENTICATION)
GermanQuestionWindows NetworkMicrosoft
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 CommentsAlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments