Kennwortrichtlinien
Hallo,
ich bin Admin in einer WindowsServer2003-Domäne. Zur Zeit nutzen wir die Kennwortrichtlinien nicht. D.h., die Benutzer bekommen einmalig ein Kennwort und können dies selbstständig nicht ändern.
Dies soll sich nun ändern. D.h., wir wollen in Zukunft mit den Kontorichtlinien arbeiten. Ein wenig habe ich mich nun eingelesen. Folgende Fragen habe ich aber noch:
1. Was muss ich alles machen um die Kontorichtlinien zu aktivieren? Aussser der Einstellung der Richtlinien unter "Domänensicherheitseinstellungen" muss doch sicherlich noch etwas in der Aktiv-Directory eingestellt werden. Bisher ist bei allen Benutzern unter Konto "kann Kennwort nicht ändern" und "Kennwort läuft nie ab" angehakt. Irgendwo muss ich die neu definierte Richtlinie doch wohl aktivieren oder muss ich bei jedem Benutzer diese Haken manuell entfernen?
2. Ist es möglich einzelne Rechner oder Benutzer aus dieser Richtlinie herauszulassen? Wir haben Clients (W2K,WXP) auf denen ist kein Kennwort erwünscht, da diese PC für jeden zugänglich sein müssen. Sollte dies nicht gehen ist die Kennwortrichtlinie ein KO-Kriterium.
Vielen Dank für die Antworten
Ken
ich bin Admin in einer WindowsServer2003-Domäne. Zur Zeit nutzen wir die Kennwortrichtlinien nicht. D.h., die Benutzer bekommen einmalig ein Kennwort und können dies selbstständig nicht ändern.
Dies soll sich nun ändern. D.h., wir wollen in Zukunft mit den Kontorichtlinien arbeiten. Ein wenig habe ich mich nun eingelesen. Folgende Fragen habe ich aber noch:
1. Was muss ich alles machen um die Kontorichtlinien zu aktivieren? Aussser der Einstellung der Richtlinien unter "Domänensicherheitseinstellungen" muss doch sicherlich noch etwas in der Aktiv-Directory eingestellt werden. Bisher ist bei allen Benutzern unter Konto "kann Kennwort nicht ändern" und "Kennwort läuft nie ab" angehakt. Irgendwo muss ich die neu definierte Richtlinie doch wohl aktivieren oder muss ich bei jedem Benutzer diese Haken manuell entfernen?
2. Ist es möglich einzelne Rechner oder Benutzer aus dieser Richtlinie herauszulassen? Wir haben Clients (W2K,WXP) auf denen ist kein Kennwort erwünscht, da diese PC für jeden zugänglich sein müssen. Sollte dies nicht gehen ist die Kennwortrichtlinie ein KO-Kriterium.
Vielen Dank für die Antworten
Ken
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-Key: 89141
Url: https://administrator.de/contentid/89141
Ausgedruckt am: 28.03.2024 um 19:03 Uhr
9 Kommentare
Neuester Kommentar
Servus Ken,
Kennwortrichtlinen sind ein Bestandteil der Domänensicherheit. Die Domain vererbt alles - von daher..
Oder besser ausgedrückt - ich kenne keinen Weg - entweder alle oder keiner muß diese Richtline befolgen.
Kennwortrichtlinen sind ein Bestandteil der Domänensicherheit. Die Domain vererbt alles - von daher..
Oder besser ausgedrückt - ich kenne keinen Weg - entweder alle oder keiner muß diese Richtline befolgen.
Hallo auch,
Doch, doch, es gibt natürlich eine Möglichkeit, das zu trennen, aber das ist so sinnvoll, wie - keine Ahnung, so was blödes fällt mir im Moment nicht ein. Die Aussage "kein Passwort" wäre für mich ein ganz anderes K.O.-Kriterium: Ich würde das Thema Sicherheit komplett ablehnen.
Da das aber nicht meine Sorge ist, hier nur die Info, dass das Unfug ist. Entweder wird sich an Passwörter gewöhnt oder nicht. Alle oder keiner. Sogar Besucher. Muss ja nicht ständig gewechselt werden.
Hier also die Technik:
Erstelle Dir alle möglichen Gruppenrichtlinien, wie Du sie brauchst, mit Kennwort, ohne Kennwort, lange, kurze, schwere Kennwörter, solche, die sich 24x nicht wiedeholen dürfen... das alles stellst Du in den Gruppenrichtlinien ein unter (aus dem Kopf und nur pauschal) Computereinstellungen-Sicherheit-Kennwortrichtlinien.
Wenn Du alle Richtlinien beisammen hast, gibt es mehrere Möglichkeiten, ich würde es so lösen:
Erstelle mindestens zwei OUs, eine für die kennwortgeschützten Rechner, eine für die "freien".
Verschiebe die Rechner in die jeweils zuständige OU.
Verlinke die GPOs auf die entsprechende OU.
Bei "Delegation" müssen dann noch die PCs aus der jeweiligen OU eingetragen werden und schwupps - geht. Macht keinen Sinn, aber geht.
Bonkers
Doch, doch, es gibt natürlich eine Möglichkeit, das zu trennen, aber das ist so sinnvoll, wie - keine Ahnung, so was blödes fällt mir im Moment nicht ein. Die Aussage "kein Passwort" wäre für mich ein ganz anderes K.O.-Kriterium: Ich würde das Thema Sicherheit komplett ablehnen.
Da das aber nicht meine Sorge ist, hier nur die Info, dass das Unfug ist. Entweder wird sich an Passwörter gewöhnt oder nicht. Alle oder keiner. Sogar Besucher. Muss ja nicht ständig gewechselt werden.
Hier also die Technik:
Erstelle Dir alle möglichen Gruppenrichtlinien, wie Du sie brauchst, mit Kennwort, ohne Kennwort, lange, kurze, schwere Kennwörter, solche, die sich 24x nicht wiedeholen dürfen... das alles stellst Du in den Gruppenrichtlinien ein unter (aus dem Kopf und nur pauschal) Computereinstellungen-Sicherheit-Kennwortrichtlinien.
Wenn Du alle Richtlinien beisammen hast, gibt es mehrere Möglichkeiten, ich würde es so lösen:
Erstelle mindestens zwei OUs, eine für die kennwortgeschützten Rechner, eine für die "freien".
Verschiebe die Rechner in die jeweils zuständige OU.
Verlinke die GPOs auf die entsprechende OU.
Bei "Delegation" müssen dann noch die PCs aus der jeweiligen OU eingetragen werden und schwupps - geht. Macht keinen Sinn, aber geht.
Bonkers
Moinsen,
Active Directory hat bis einschließlich Windows Server 2003 die Einschränkung, nur eine einzige für die ganze Domäne gültige Passwortrichtlinie definieren zu können
Quelle
Na da schau her!
Da ich den Sinn dahinter sowieso nicht sehe, bin ich nie in die Verlegenheit gekommen.
Bestätigt sich tätglich, dass man nicht auslernt, Danke!
Bonkers
Da ich den Sinn dahinter sowieso nicht sehe, bin ich nie in die Verlegenheit gekommen.
Bestätigt sich tätglich, dass man nicht auslernt, Danke!
Bonkers
Servus,
also entweder W2008 und sich dafür (jetzt) evtl. noch andere Features / Bugs holen - oder die "Hand" Methode.
Lege Zwei OUs an - eine für die Produktion - eine für den Rest.
Die Domainsicherheitsrichtline "normal" einrichten - ohne gezwungenen Passwortwechsel.
Nun gehts du Monatlich / wannauchimmer auf die OU der "anderen" markierst alle und mit Properties / Account unter Account Options den Haken bei "User must change Password at next logon"
Nicht schön und auch nicht selten.
also entweder W2008 und sich dafür (jetzt) evtl. noch andere Features / Bugs holen - oder die "Hand" Methode.
Lege Zwei OUs an - eine für die Produktion - eine für den Rest.
Die Domainsicherheitsrichtline "normal" einrichten - ohne gezwungenen Passwortwechsel.
Nun gehts du Monatlich / wannauchimmer auf die OU der "anderen" markierst alle und mit Properties / Account unter Account Options den Haken bei "User must change Password at next logon"
Nicht schön und auch nicht selten.
Hallo,
die "Hand"-Methode geht auch anders herum bei 2003-Server
In der DefaultDomainPolicy die Kennwortrichtlinie festlegen
Bei den Produktionsmitarbeitern in den Konten im AD die Haken setzen bei
User cannot change password und Password never expired
Wir haben das bei einigen Konten im Produktionsbereich auch so geregelt
Die Kennwortrichtlinie der DefaultPolicy zieht dann bei diesen Konten nicht
mfg
die "Hand"-Methode geht auch anders herum bei 2003-Server
In der DefaultDomainPolicy die Kennwortrichtlinie festlegen
Bei den Produktionsmitarbeitern in den Konten im AD die Haken setzen bei
User cannot change password und Password never expired
Wir haben das bei einigen Konten im Produktionsbereich auch so geregelt
Die Kennwortrichtlinie der DefaultPolicy zieht dann bei diesen Konten nicht
mfg
Ich will nicht meckern, aber:
Wer DefaultDomainPolicies verfälscht oder verfälschte DefaultDomainsPolicies sich verschafft und in Umlauf bringt wird mit Pfoten ab nicht unter zwei Stück bestraft.
Wenn\'s irgendwie geht bitte eine neue Richtlinie dafür erstellen, weil es im Extremfall sonst nicht mehr ohne weiteres möglich ist, auf einen definierten Standard zurückzusetzen. Bei den Kennwortrichtlinien ist das nicht weiter schlimm, wer sich aber erst mal daran gewöhnt, die DefDomPol zu ändern, macht das in anderen Fällen auch und das kann schief gehen.
Das zweite ist: Wenn in der Richtlinie drinsteht, dass die User ihre Passwörter ändern sollen, gilt das für alle. Eine Gruppenrichtlinie geht der manuellen EInstellung vor, d.h., eigentlich dürfte das nicht funktionieren. Wenn es doch geht, ist irgendwas nicht ganz in Ordnung, zumindest ist das eine Wackelnummer. Der gesetzte Haken muss sich normalerweise der Richtlinie unterordnen. Das Feld müsste ausgegraut und nicht änderbar sein.
Oder übersehe ich jetzt eine Einstellung, die ich schon immer blind mit übernommen habe?
Bonkers
Wer DefaultDomainPolicies verfälscht oder verfälschte DefaultDomainsPolicies sich verschafft und in Umlauf bringt wird mit Pfoten ab nicht unter zwei Stück bestraft.
Wenn\'s irgendwie geht bitte eine neue Richtlinie dafür erstellen, weil es im Extremfall sonst nicht mehr ohne weiteres möglich ist, auf einen definierten Standard zurückzusetzen. Bei den Kennwortrichtlinien ist das nicht weiter schlimm, wer sich aber erst mal daran gewöhnt, die DefDomPol zu ändern, macht das in anderen Fällen auch und das kann schief gehen.
Das zweite ist: Wenn in der Richtlinie drinsteht, dass die User ihre Passwörter ändern sollen, gilt das für alle. Eine Gruppenrichtlinie geht der manuellen EInstellung vor, d.h., eigentlich dürfte das nicht funktionieren. Wenn es doch geht, ist irgendwas nicht ganz in Ordnung, zumindest ist das eine Wackelnummer. Der gesetzte Haken muss sich normalerweise der Richtlinie unterordnen. Das Feld müsste ausgegraut und nicht änderbar sein.
Oder übersehe ich jetzt eine Einstellung, die ich schon immer blind mit übernommen habe?
Bonkers
Keine Sorge, es ist (fast) die originale DDP
Natürlich soll man da nicht drin rumpfuschen, steht ja überall geschrieben.
Aber die Kennwortrichtlinie haben wir da eingestellt, sonst nichts.
Das Zweite: Es funktioniert seit vielen Jahren so bei uns.
mfg
Natürlich soll man da nicht drin rumpfuschen, steht ja überall geschrieben.
Aber die Kennwortrichtlinie haben wir da eingestellt, sonst nichts.
Das Zweite: Es funktioniert seit vielen Jahren so bei uns.
mfg