Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Kennwortrichtlinien

Mitglied: edvhen

edvhen (Level 1) - Jetzt verbinden

04.06.2008, aktualisiert 06.06.2008, 6111 Aufrufe, 9 Kommentare

Hallo,
ich bin Admin in einer WindowsServer2003-Domäne. Zur Zeit nutzen wir die Kennwortrichtlinien nicht. D.h., die Benutzer bekommen einmalig ein Kennwort und können dies selbstständig nicht ändern.
Dies soll sich nun ändern. D.h., wir wollen in Zukunft mit den Kontorichtlinien arbeiten. Ein wenig habe ich mich nun eingelesen. Folgende Fragen habe ich aber noch:

1. Was muss ich alles machen um die Kontorichtlinien zu aktivieren? Aussser der Einstellung der Richtlinien unter "Domänensicherheitseinstellungen" muss doch sicherlich noch etwas in der Aktiv-Directory eingestellt werden. Bisher ist bei allen Benutzern unter Konto "kann Kennwort nicht ändern" und "Kennwort läuft nie ab" angehakt. Irgendwo muss ich die neu definierte Richtlinie doch wohl aktivieren oder muss ich bei jedem Benutzer diese Haken manuell entfernen?

2. Ist es möglich einzelne Rechner oder Benutzer aus dieser Richtlinie herauszulassen? Wir haben Clients (W2K,WXP) auf denen ist kein Kennwort erwünscht, da diese PC für jeden zugänglich sein müssen. Sollte dies nicht gehen ist die Kennwortrichtlinie ein KO-Kriterium.

Vielen Dank für die Antworten
Ken
Mitglied: 60730
04.06.2008 um 16:39 Uhr
Servus Ken,

Kennwortrichtlinen sind ein Bestandteil der Domänensicherheit. Die Domain vererbt alles - von daher..

Oder besser ausgedrückt - ich kenne keinen Weg - entweder alle oder keiner muß diese Richtline befolgen.
Bitte warten ..
Mitglied: 60897
04.06.2008 um 17:36 Uhr
Hallo auch,

Doch, doch, es gibt natürlich eine Möglichkeit, das zu trennen, aber das ist so sinnvoll, wie - keine Ahnung, so was blödes fällt mir im Moment nicht ein. Die Aussage "kein Passwort" wäre für mich ein ganz anderes K.O.-Kriterium: Ich würde das Thema Sicherheit komplett ablehnen.

Da das aber nicht meine Sorge ist, hier nur die Info, dass das Unfug ist. Entweder wird sich an Passwörter gewöhnt oder nicht. Alle oder keiner. Sogar Besucher. Muss ja nicht ständig gewechselt werden.

Hier also die Technik:

Erstelle Dir alle möglichen Gruppenrichtlinien, wie Du sie brauchst, mit Kennwort, ohne Kennwort, lange, kurze, schwere Kennwörter, solche, die sich 24x nicht wiedeholen dürfen... das alles stellst Du in den Gruppenrichtlinien ein unter (aus dem Kopf und nur pauschal) Computereinstellungen-Sicherheit-Kennwortrichtlinien.

Wenn Du alle Richtlinien beisammen hast, gibt es mehrere Möglichkeiten, ich würde es so lösen:

Erstelle mindestens zwei OUs, eine für die kennwortgeschützten Rechner, eine für die "freien".
Verschiebe die Rechner in die jeweils zuständige OU.
Verlinke die GPOs auf die entsprechende OU.
Bei "Delegation" müssen dann noch die PCs aus der jeweiligen OU eingetragen werden und schwupps - geht. Macht keinen Sinn, aber geht.

Bonkers
Bitte warten ..
Mitglied: 60730
04.06.2008 um 17:45 Uhr
Moinsen,

Active Directory hat bis einschließlich Windows Server 2003 die Einschränkung, nur eine einzige für die ganze Domäne gültige Passwortrichtlinie definieren zu können
Quelle
Bitte warten ..
Mitglied: 60897
04.06.2008 um 19:23 Uhr
Na da schau her!
Da ich den Sinn dahinter sowieso nicht sehe, bin ich nie in die Verlegenheit gekommen.
Bestätigt sich tätglich, dass man nicht auslernt, Danke!

Bonkers
Bitte warten ..
Mitglied: edvhen
05.06.2008 um 07:49 Uhr
Zur Eklärung zu "kein Passwort": an Rechnern in der Produktion müssen die Mitarbeiter sich an Aufträgen anmelden. Da an diesen PCs immer wieder andere Mitarbeiter arbeiten dürfen dort nicht ständig die Passwörter wechseln. D.h., an diesen PCs/für diese User können natürlich auch Passwörter hinterlegt werden. Aber wenn, dann dürfen diese nicht wechseln. An den Büroarbeitsplätzen dagegen müssen die Passwörter wechseln.
Bitte warten ..
Mitglied: 60730
05.06.2008 um 10:25 Uhr
Servus,

also entweder W2008 und sich dafür (jetzt) evtl. noch andere Features / Bugs holen - oder die "Hand" Methode.

Lege Zwei OUs an - eine für die Produktion - eine für den Rest.

Die Domainsicherheitsrichtline "normal" einrichten - ohne gezwungenen Passwortwechsel.
Nun gehts du Monatlich / wannauchimmer auf die OU der "anderen" markierst alle und mit Properties / Account unter Account Options den Haken bei "User must change Password at next logon"

Nicht schön und auch nicht selten.
Bitte warten ..
Mitglied: 25110
06.06.2008 um 10:59 Uhr
Hallo,

die "Hand"-Methode geht auch anders herum bei 2003-Server

In der DefaultDomainPolicy die Kennwortrichtlinie festlegen
Bei den Produktionsmitarbeitern in den Konten im AD die Haken setzen bei
User cannot change password und Password never expired

Wir haben das bei einigen Konten im Produktionsbereich auch so geregelt
Die Kennwortrichtlinie der DefaultPolicy zieht dann bei diesen Konten nicht


mfg
Bitte warten ..
Mitglied: 60897
06.06.2008 um 14:26 Uhr
Ich will nicht meckern, aber:
Wer DefaultDomainPolicies verfälscht oder verfälschte DefaultDomainsPolicies sich verschafft und in Umlauf bringt wird mit Pfoten ab nicht unter zwei Stück bestraft.

Wenn\'s irgendwie geht bitte eine neue Richtlinie dafür erstellen, weil es im Extremfall sonst nicht mehr ohne weiteres möglich ist, auf einen definierten Standard zurückzusetzen. Bei den Kennwortrichtlinien ist das nicht weiter schlimm, wer sich aber erst mal daran gewöhnt, die DefDomPol zu ändern, macht das in anderen Fällen auch und das kann schief gehen.

Das zweite ist: Wenn in der Richtlinie drinsteht, dass die User ihre Passwörter ändern sollen, gilt das für alle. Eine Gruppenrichtlinie geht der manuellen EInstellung vor, d.h., eigentlich dürfte das nicht funktionieren. Wenn es doch geht, ist irgendwas nicht ganz in Ordnung, zumindest ist das eine Wackelnummer. Der gesetzte Haken muss sich normalerweise der Richtlinie unterordnen. Das Feld müsste ausgegraut und nicht änderbar sein.
Oder übersehe ich jetzt eine Einstellung, die ich schon immer blind mit übernommen habe?

Bonkers
Bitte warten ..
Mitglied: 25110
06.06.2008 um 15:22 Uhr
Keine Sorge, es ist (fast) die originale DDP
Natürlich soll man da nicht drin rumpfuschen, steht ja überall geschrieben.
Aber die Kennwortrichtlinie haben wir da eingestellt, sonst nichts.

Das Zweite: Es funktioniert seit vielen Jahren so bei uns.

mfg
Bitte warten ..
Ähnliche Inhalte
Windows Server
RDWeb Kennwortrichtlinie
gelöst Frage von teggerWindows Server12 Kommentare

Hallo, ich habe einen merkwürdigen Fall der Kennwortrichtlinien bei RDweb. Wenn ich über das Passwort ändern möchte, kommt bei ...

Windows Netzwerk
Kennwortrichtlinie GPO
gelöst Frage von ahstaxWindows Netzwerk10 Kommentare

Hallo, ich würde gerne via GPO eine strengere Kennwortrichtlinie für die Benutzer realisieren. Ich habe bsp hier gelesen, dass ...

Windows Server

GPO: Gesonderte Kennwortrichtlinie für Adminkonten

gelöst Frage von hagenharryWindows Server2 Kommentare

Hallo miteinander, bei uns wurde kürzlich ein Audit durchgeführt, aus dem u.a. die Anforderung kam, dass unsere Domänen-Adminacounts eine ...

Windows Userverwaltung

Kennwort kann nicht geändert werden weil Kennwortrichtlinie nicht richtig ist

gelöst Frage von MarcysWindows Userverwaltung16 Kommentare

Hallo Zusammen, ich habe ein merkwürdiges Problem. Wir haben eine ganz normale Windows Domäne auf Basis eines Windows 2003 ...

Neue Wissensbeiträge
Erkennung und -Abwehr

Neue Sicherheitslücke Foreshadow (L1TF) gefährdet fast alle Intel-Prozessoren

Information von Frank vor 3 StundenErkennung und -Abwehr1 Kommentar

Eine neue Sicherheitslücke, genannt Foreshadow (alias L1TF) wurde auf der Usenix Security 18 von einem Team internationaler Experten veröffentlicht. ...

Vmware
VMware Updates gegen L1 Lücke
Information von sabines vor 10 StundenVmware

Für die Vmware Produkte vCenter Server, ESXi, Workstation und Fusion stehe Updates bereit um die L1 Lücke zu schließen. ...

Drucker und Scanner
HP-MF-Drucker per Fax angreifbsr
Information von Lochkartenstanzer vor 2 TagenDrucker und Scanner3 Kommentare

Endlich eine sinnvolle Verwendung für Faxe: Damit kann man offensichtlich den Drucker übernehmen. lks

Router & Routing

Das pfSense Buch ist jetzt für jeden kostenlos zu beziehen

Tipp von magicteddy vor 3 TagenRouter & Routing2 Kommentare

Bisher war das Buch nur für zahlende Unterstützer verfügbar, jetzt steht für Jedermann kostenlos zur Verfügung. Siehe auch The ...

Heiß diskutierte Inhalte
Microsoft
VPN Verbindung kann nicht aufgebaut werden
Frage von AlexderITlerMicrosoft35 Kommentare

Hallo, Ich möchte an einem unserer PCs in unserer Tochterfirma eine VPN zu unserem Netzwerk einrichten. Das schlägt allerdings ...

Datenbanken
MySQL Datenbank Import Aufgabe für mehrere .csv dateien
gelöst Frage von Marcel1989Datenbanken19 Kommentare

Hi, ich komm nicht weiter. Ich hab auf einem Windows Server 2012 r2 eine MariaDB/MySQL laufen. Nun soll diese ...

Windows Server
Programme auf DC ausführen
gelöst Frage von chris123Windows Server14 Kommentare

Hallo, ich bin gerade dabei einen weiteren Admin für unser Domäne zu konfigurieren. Er soll auch auf dem DC-Server ...

Exchange Server
Exchange 2016: Abwesenheitsnotiz für deaktivierten Benutzer
Frage von honeybeeExchange Server13 Kommentare

Hallo, kann man über Regeln eine Abwesenheitsnotiz erstellen, in der darauf hingewiesen wird, dass der Benutzer nicht mehr im ...