Passwortkomplexität im ActiveDirectory

[Zearom 10]

Hallöchen,

 

Für einen maschinellen Prozess, welche neu angelegt Useraccounts im AD mit einem Zufallspasswort versehen soll, benötige ich mal eine Information. Wie genau setzt sich diese Passwort Komplexität genau zusammen? Denn wenn ich via Script schon die Passwörter erstelle, sollten die PWs schon die Richtlinien erfüllen. Hat da jemand ein paar Information? ich hab mich schon im Google totgesucht, aber ausser anleitungen zum Einschalten dieser Funktion hab ich da nicht gefunden. Wäre wirklich toll wenn mir da jemand mit der Information oder einem Link helfen könnte.

[McMurphy 10]

schau mal in deinen Richtlinen nach, da kannst du einiges verstellen was die Komplexität angeht.

Ist doch aber sowieso egal, da der User sein PW bei der ersten Anmeldung ändern muss!

[Hirgelzwift 10]

Im Grunde ist es doch ganz einfach:

 

Passwortkomplexität besagt das aus vier möglichen Kriterien, die da wären:

 

1. kleine Buchstaben

2. große Buchstaben

3. Ziffern

4. Sonderzeichen z.B. +!"$%

 

mindestens 3 Kriterien erfüllt sein müssen. Damit wäre

 

Passw0rd schon ein gültiges Passwort das die Komplexität erfüllt.

[isan 10]

Normalerweise 8 Zeichen, mindestens ein Grossbuchstabe und eine Ziffer oder Sonderzeichen dabei.

Gruss

Isan

[Zearom 10]

Ist doch aber sowieso egal, da der User sein PW bei der ersten Anmeldung ändern muss!

 

nein, ich verteile keine Initialpasswörter sondern dauerhafte Paswörter. Aufgrund des ISA2004, der nur die Basic-Authentication bzw. Windows Authentication unterstützt (FormBasedAuth gibts ja leider nicht...) muss das Userkonto in einem Loginfähigen Zustand sein. Wir nutzen das AD in diesem Fall für bestimmte Webservices

 

nachtrag:

vielen dank für die Infos:

 

1. kleine Buchstaben

2. große Buchstaben

3. Ziffern

4. Sonderzeichen z.B. +!"$%

 

mindestens 3 Kriterien erfüllt sein müssen. Damit wäre

ich denke das das wohl ein recht gut abzubildendes Schema ist.

[Christoph35 10]

Ist W2K3 Default nicht min. 7 Zeichen?!

 

Christoph

[Hirgelzwift 10]

ja christoph ist 7 zeichen und wenn du die Policy angeschaltet hast kannst du nicht mal mehr als Admin ein unsicheres PW vergeben.

[Christoph35 10]

Schon klar, ich bezog mich nur auf isan´s Post mit den 8 Zeichen. ;)

 

Christoph

[=(Apache)= Com. 10]

du kannst die Einstellungen in der default policy vornehmen.

 

Sollte es so nicht übernommen werden musst du einfach eine neue policy machen und den Haken setzen, dass diese Richtlinie nicht überschrieben werden kann.

[Hirgelzwift 10]

können? du mußt! Passwortrichtlinien werden nur aus der DDP übernommen, alle anderen Einstellungen kannst du knicken, ob mit und oder Hacken.

[Christoph35 10]

können? du mußt! Passwortrichtlinien werden nur aus der DDP übernommen, alle anderen Einstellungen kannst du knicken, ob mit und oder Hacken.

 

Sorry, aber das stimmt nicht 100%ig.

 

Richtig ist, dass PW Policies nur auf Domain-Ebene angewandt werden. Aber die Policies können auch in einer extra Richtlinie gesetzt werden, die auf Domain-Ebene gelinkt wird.

 

Das steht in diesem Artikel:

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/directory/activedirectory/stepbystep/strngpw.mspx

 

Ich zitiere mal kurz den entsprechenden Passus:

It is a best practice to avoid modifying these built-in GPOs. If you need to apply password policy settings that diverge from the default settings, you should create a new GPO instead and link it to the root container for the domain, or to the Domain Controllers OU and assign it a higher priority than the built-in GPO. If two GPOs that have conflicting settings are linked to the same container, the one with higher priority takes precedence.

 

Christoph

 

edit:

die meisten werden die PW Policies natürlich trotzdem in der Def. Dom. Policy setzen. Es spricht ja auch technisch nix dagegen .

[Hirgelzwift 10]

Ich sag nur theorie und praxis :rolleyes:

 

Wir hatten das versucht wie es im Artikel angegeben ist und es ging nicht. Es kann nur sein das meine Aussage veraltet ist und das Problem zwischenzeitlich gelöst wurde. Als wir mit W2K angefangen haben ging es eben nur in der DDP. Der Admin ist ein Gewohnheitstier :D Ich persönlich würde es immer (noch) in der DDP machen auch wenn es zwiwschenzeitlich anders gehen sollte. Sicher ist sicher

[Christoph35 10]

Mag sein, aber bevor ich das hier gepostet habe, bin ich das schnell noch mal in einer Testdomain durchgegangen. Hat da ohne Probleme geklappt.

 

Def. Dom. Policy war mit min. 7 Zeichen Länge eingestellt. Neue Policy mit 8 Zeichen gelinkt. Dann ein PW für einen Testuser zurückgesetzt: 7 Zeichen wurden nicht akzeptiert.

 

Bei mir war das allerdings W2K3. Vielleicht haben die das da ja auch erst richtig gemacht :D

 

Christoph