edvhen
Goto Top

Kennwortrichtlinien

Hallo,
ich bin Admin in einer WindowsServer2003-Domäne. Zur Zeit nutzen wir die Kennwortrichtlinien nicht. D.h., die Benutzer bekommen einmalig ein Kennwort und können dies selbstständig nicht ändern.
Dies soll sich nun ändern. D.h., wir wollen in Zukunft mit den Kontorichtlinien arbeiten. Ein wenig habe ich mich nun eingelesen. Folgende Fragen habe ich aber noch:

1. Was muss ich alles machen um die Kontorichtlinien zu aktivieren? Aussser der Einstellung der Richtlinien unter "Domänensicherheitseinstellungen" muss doch sicherlich noch etwas in der Aktiv-Directory eingestellt werden. Bisher ist bei allen Benutzern unter Konto "kann Kennwort nicht ändern" und "Kennwort läuft nie ab" angehakt. Irgendwo muss ich die neu definierte Richtlinie doch wohl aktivieren oder muss ich bei jedem Benutzer diese Haken manuell entfernen?

2. Ist es möglich einzelne Rechner oder Benutzer aus dieser Richtlinie herauszulassen? Wir haben Clients (W2K,WXP) auf denen ist kein Kennwort erwünscht, da diese PC für jeden zugänglich sein müssen. Sollte dies nicht gehen ist die Kennwortrichtlinie ein KO-Kriterium.

Vielen Dank für die Antworten
Ken

Content-Key: 89141

Url: https://administrator.de/contentid/89141

Ausgedruckt am: 28.03.2024 um 19:03 Uhr

Mitglied: 60730
60730 04.06.2008 um 16:39:07 Uhr
Goto Top
Servus Ken,

Kennwortrichtlinen sind ein Bestandteil der Domänensicherheit. Die Domain vererbt alles - von daher..

Oder besser ausgedrückt - ich kenne keinen Weg - entweder alle oder keiner muß diese Richtline befolgen.
Mitglied: 60897
60897 04.06.2008 um 17:36:23 Uhr
Goto Top
Hallo auch,

Doch, doch, es gibt natürlich eine Möglichkeit, das zu trennen, aber das ist so sinnvoll, wie - keine Ahnung, so was blödes fällt mir im Moment nicht ein. Die Aussage "kein Passwort" wäre für mich ein ganz anderes K.O.-Kriterium: Ich würde das Thema Sicherheit komplett ablehnen.

Da das aber nicht meine Sorge ist, hier nur die Info, dass das Unfug ist. Entweder wird sich an Passwörter gewöhnt oder nicht. Alle oder keiner. Sogar Besucher. Muss ja nicht ständig gewechselt werden.

Hier also die Technik:

Erstelle Dir alle möglichen Gruppenrichtlinien, wie Du sie brauchst, mit Kennwort, ohne Kennwort, lange, kurze, schwere Kennwörter, solche, die sich 24x nicht wiedeholen dürfen... das alles stellst Du in den Gruppenrichtlinien ein unter (aus dem Kopf und nur pauschal) Computereinstellungen-Sicherheit-Kennwortrichtlinien.

Wenn Du alle Richtlinien beisammen hast, gibt es mehrere Möglichkeiten, ich würde es so lösen:

Erstelle mindestens zwei OUs, eine für die kennwortgeschützten Rechner, eine für die "freien".
Verschiebe die Rechner in die jeweils zuständige OU.
Verlinke die GPOs auf die entsprechende OU.
Bei "Delegation" müssen dann noch die PCs aus der jeweiligen OU eingetragen werden und schwupps - geht. Macht keinen Sinn, aber geht.

Bonkers
Mitglied: 60730
60730 04.06.2008 um 17:45:30 Uhr
Goto Top
Moinsen,

Active Directory hat bis einschließlich Windows Server 2003 die Einschränkung, nur eine einzige für die ganze Domäne gültige Passwortrichtlinie definieren zu können
Quelle
Mitglied: 60897
60897 04.06.2008 um 19:23:01 Uhr
Goto Top
Na da schau her!
Da ich den Sinn dahinter sowieso nicht sehe, bin ich nie in die Verlegenheit gekommen.
Bestätigt sich tätglich, dass man nicht auslernt, Danke!

Bonkers
Mitglied: edvhen
edvhen 05.06.2008 um 07:49:15 Uhr
Goto Top
Zur Eklärung zu "kein Passwort": an Rechnern in der Produktion müssen die Mitarbeiter sich an Aufträgen anmelden. Da an diesen PCs immer wieder andere Mitarbeiter arbeiten dürfen dort nicht ständig die Passwörter wechseln. D.h., an diesen PCs/für diese User können natürlich auch Passwörter hinterlegt werden. Aber wenn, dann dürfen diese nicht wechseln. An den Büroarbeitsplätzen dagegen müssen die Passwörter wechseln.
Mitglied: 60730
60730 05.06.2008 um 10:25:50 Uhr
Goto Top
Servus,

also entweder W2008 und sich dafür (jetzt) evtl. noch andere Features / Bugs holen - oder die "Hand" Methode.

Lege Zwei OUs an - eine für die Produktion - eine für den Rest.

Die Domainsicherheitsrichtline "normal" einrichten - ohne gezwungenen Passwortwechsel.
Nun gehts du Monatlich / wannauchimmer auf die OU der "anderen" markierst alle und mit Properties / Account unter Account Options den Haken bei "User must change Password at next logon"

Nicht schön und auch nicht selten.
Mitglied: 25110
25110 06.06.2008 um 10:59:37 Uhr
Goto Top
Hallo,

die "Hand"-Methode geht auch anders herum bei 2003-Server

In der DefaultDomainPolicy die Kennwortrichtlinie festlegen
Bei den Produktionsmitarbeitern in den Konten im AD die Haken setzen bei
User cannot change password und Password never expired

Wir haben das bei einigen Konten im Produktionsbereich auch so geregelt
Die Kennwortrichtlinie der DefaultPolicy zieht dann bei diesen Konten nicht


mfg
Mitglied: 60897
60897 06.06.2008 um 14:26:51 Uhr
Goto Top
Ich will nicht meckern, aber:
Wer DefaultDomainPolicies verfälscht oder verfälschte DefaultDomainsPolicies sich verschafft und in Umlauf bringt wird mit Pfoten ab nicht unter zwei Stück bestraft.

Wenn\'s irgendwie geht bitte eine neue Richtlinie dafür erstellen, weil es im Extremfall sonst nicht mehr ohne weiteres möglich ist, auf einen definierten Standard zurückzusetzen. Bei den Kennwortrichtlinien ist das nicht weiter schlimm, wer sich aber erst mal daran gewöhnt, die DefDomPol zu ändern, macht das in anderen Fällen auch und das kann schief gehen.

Das zweite ist: Wenn in der Richtlinie drinsteht, dass die User ihre Passwörter ändern sollen, gilt das für alle. Eine Gruppenrichtlinie geht der manuellen EInstellung vor, d.h., eigentlich dürfte das nicht funktionieren. Wenn es doch geht, ist irgendwas nicht ganz in Ordnung, zumindest ist das eine Wackelnummer. Der gesetzte Haken muss sich normalerweise der Richtlinie unterordnen. Das Feld müsste ausgegraut und nicht änderbar sein.
Oder übersehe ich jetzt eine Einstellung, die ich schon immer blind mit übernommen habe?

Bonkers
Mitglied: 25110
25110 06.06.2008 um 15:22:42 Uhr
Goto Top
Keine Sorge, es ist (fast) die originale DDP face-wink
Natürlich soll man da nicht drin rumpfuschen, steht ja überall geschrieben.
Aber die Kennwortrichtlinie haben wir da eingestellt, sonst nichts.

Das Zweite: Es funktioniert seit vielen Jahren so bei uns.

mfg