Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Kennwortrichtlinien

Frage Microsoft Windows Server

Mitglied: edvhen

edvhen (Level 1) - Jetzt verbinden

04.06.2008, aktualisiert 06.06.2008, 6007 Aufrufe, 9 Kommentare

Hallo,
ich bin Admin in einer WindowsServer2003-Domäne. Zur Zeit nutzen wir die Kennwortrichtlinien nicht. D.h., die Benutzer bekommen einmalig ein Kennwort und können dies selbstständig nicht ändern.
Dies soll sich nun ändern. D.h., wir wollen in Zukunft mit den Kontorichtlinien arbeiten. Ein wenig habe ich mich nun eingelesen. Folgende Fragen habe ich aber noch:

1. Was muss ich alles machen um die Kontorichtlinien zu aktivieren? Aussser der Einstellung der Richtlinien unter "Domänensicherheitseinstellungen" muss doch sicherlich noch etwas in der Aktiv-Directory eingestellt werden. Bisher ist bei allen Benutzern unter Konto "kann Kennwort nicht ändern" und "Kennwort läuft nie ab" angehakt. Irgendwo muss ich die neu definierte Richtlinie doch wohl aktivieren oder muss ich bei jedem Benutzer diese Haken manuell entfernen?

2. Ist es möglich einzelne Rechner oder Benutzer aus dieser Richtlinie herauszulassen? Wir haben Clients (W2K,WXP) auf denen ist kein Kennwort erwünscht, da diese PC für jeden zugänglich sein müssen. Sollte dies nicht gehen ist die Kennwortrichtlinie ein KO-Kriterium.

Vielen Dank für die Antworten
Ken
Mitglied: 60730
04.06.2008 um 16:39 Uhr
Servus Ken,

Kennwortrichtlinen sind ein Bestandteil der Domänensicherheit. Die Domain vererbt alles - von daher..

Oder besser ausgedrückt - ich kenne keinen Weg - entweder alle oder keiner muß diese Richtline befolgen.
Bitte warten ..
Mitglied: 60897
04.06.2008 um 17:36 Uhr
Hallo auch,

Doch, doch, es gibt natürlich eine Möglichkeit, das zu trennen, aber das ist so sinnvoll, wie - keine Ahnung, so was blödes fällt mir im Moment nicht ein. Die Aussage "kein Passwort" wäre für mich ein ganz anderes K.O.-Kriterium: Ich würde das Thema Sicherheit komplett ablehnen.

Da das aber nicht meine Sorge ist, hier nur die Info, dass das Unfug ist. Entweder wird sich an Passwörter gewöhnt oder nicht. Alle oder keiner. Sogar Besucher. Muss ja nicht ständig gewechselt werden.

Hier also die Technik:

Erstelle Dir alle möglichen Gruppenrichtlinien, wie Du sie brauchst, mit Kennwort, ohne Kennwort, lange, kurze, schwere Kennwörter, solche, die sich 24x nicht wiedeholen dürfen... das alles stellst Du in den Gruppenrichtlinien ein unter (aus dem Kopf und nur pauschal) Computereinstellungen-Sicherheit-Kennwortrichtlinien.

Wenn Du alle Richtlinien beisammen hast, gibt es mehrere Möglichkeiten, ich würde es so lösen:

Erstelle mindestens zwei OUs, eine für die kennwortgeschützten Rechner, eine für die "freien".
Verschiebe die Rechner in die jeweils zuständige OU.
Verlinke die GPOs auf die entsprechende OU.
Bei "Delegation" müssen dann noch die PCs aus der jeweiligen OU eingetragen werden und schwupps - geht. Macht keinen Sinn, aber geht.

Bonkers
Bitte warten ..
Mitglied: 60730
04.06.2008 um 17:45 Uhr
Moinsen,

Active Directory hat bis einschließlich Windows Server 2003 die Einschränkung, nur eine einzige für die ganze Domäne gültige Passwortrichtlinie definieren zu können
Quelle
Bitte warten ..
Mitglied: 60897
04.06.2008 um 19:23 Uhr
Na da schau her!
Da ich den Sinn dahinter sowieso nicht sehe, bin ich nie in die Verlegenheit gekommen.
Bestätigt sich tätglich, dass man nicht auslernt, Danke!

Bonkers
Bitte warten ..
Mitglied: edvhen
05.06.2008 um 07:49 Uhr
Zur Eklärung zu "kein Passwort": an Rechnern in der Produktion müssen die Mitarbeiter sich an Aufträgen anmelden. Da an diesen PCs immer wieder andere Mitarbeiter arbeiten dürfen dort nicht ständig die Passwörter wechseln. D.h., an diesen PCs/für diese User können natürlich auch Passwörter hinterlegt werden. Aber wenn, dann dürfen diese nicht wechseln. An den Büroarbeitsplätzen dagegen müssen die Passwörter wechseln.
Bitte warten ..
Mitglied: 60730
05.06.2008 um 10:25 Uhr
Servus,

also entweder W2008 und sich dafür (jetzt) evtl. noch andere Features / Bugs holen - oder die "Hand" Methode.

Lege Zwei OUs an - eine für die Produktion - eine für den Rest.

Die Domainsicherheitsrichtline "normal" einrichten - ohne gezwungenen Passwortwechsel.
Nun gehts du Monatlich / wannauchimmer auf die OU der "anderen" markierst alle und mit Properties / Account unter Account Options den Haken bei "User must change Password at next logon"

Nicht schön und auch nicht selten.
Bitte warten ..
Mitglied: bussi
06.06.2008 um 10:59 Uhr
Hallo,

die "Hand"-Methode geht auch anders herum bei 2003-Server

In der DefaultDomainPolicy die Kennwortrichtlinie festlegen
Bei den Produktionsmitarbeitern in den Konten im AD die Haken setzen bei
User cannot change password und Password never expired

Wir haben das bei einigen Konten im Produktionsbereich auch so geregelt
Die Kennwortrichtlinie der DefaultPolicy zieht dann bei diesen Konten nicht


Mit freundlichen Grüßen
Bitte warten ..
Mitglied: 60897
06.06.2008 um 14:26 Uhr
Ich will nicht meckern, aber:
Wer DefaultDomainPolicies verfälscht oder verfälschte DefaultDomainsPolicies sich verschafft und in Umlauf bringt wird mit Pfoten ab nicht unter zwei Stück bestraft.

Wenn\'s irgendwie geht bitte eine neue Richtlinie dafür erstellen, weil es im Extremfall sonst nicht mehr ohne weiteres möglich ist, auf einen definierten Standard zurückzusetzen. Bei den Kennwortrichtlinien ist das nicht weiter schlimm, wer sich aber erst mal daran gewöhnt, die DefDomPol zu ändern, macht das in anderen Fällen auch und das kann schief gehen.

Das zweite ist: Wenn in der Richtlinie drinsteht, dass die User ihre Passwörter ändern sollen, gilt das für alle. Eine Gruppenrichtlinie geht der manuellen EInstellung vor, d.h., eigentlich dürfte das nicht funktionieren. Wenn es doch geht, ist irgendwas nicht ganz in Ordnung, zumindest ist das eine Wackelnummer. Der gesetzte Haken muss sich normalerweise der Richtlinie unterordnen. Das Feld müsste ausgegraut und nicht änderbar sein.
Oder übersehe ich jetzt eine Einstellung, die ich schon immer blind mit übernommen habe?

Bonkers
Bitte warten ..
Mitglied: bussi
06.06.2008 um 15:22 Uhr
Keine Sorge, es ist (fast) die originale DDP
Natürlich soll man da nicht drin rumpfuschen, steht ja überall geschrieben.
Aber die Kennwortrichtlinie haben wir da eingestellt, sonst nichts.

Das Zweite: Es funktioniert seit vielen Jahren so bei uns.

Mit freundlichen Grüßen
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Heiß diskutierte Inhalte
Router & Routing
gelöst Ipv4 mieten (22)

Frage von homermg zum Thema Router & Routing ...

Exchange Server
gelöst Exchange 2010 Berechtigungen wiederherstellen (20)

Frage von semperf1delis zum Thema Exchange Server ...

Windows Server
DHCP Server switchen (20)

Frage von M.Marz zum Thema Windows Server ...

Hardware
gelöst Negative Erfahrungen LAN-Karten (19)

Frage von MegaGiga zum Thema Hardware ...