Server 2003 - Kennwortrichtlinien / Laufzeit

[larazza 10]

Hallo zusammen,

 

ich habe eine Frage zu den Kennwortrichtlinien:

Wir haben Benutzer in der Domäne welche ihr Kennwort nach einer bestimmten Laufzeit ändern müssen und andere Benutzer bei welchen das Kennwort erhalten bleiben soll.

 

So wie ich das jetzt verstanden habe, muss ich die Kennwortrichtlinien auf der Ebene der "Default Domain Policy" einstellen.

Somit gilt für alle Benutzer, das ihr Kennwort bei z.B. einem maximalen Kennwortalter von 60 Tagen alle 2 Monate ändern müssen.

Gibt es eine Möglichkeit diese Einstellung auf verschiedene Container anzuwenden. Also Benutzer die Kennwörter ändern müssen und die keins ändern müssen?

 

Und kann ich die Meldung "10 Tage zeit bis das Kennwort abläuft, wollen Sie jetzt ändern..." verkürzen bzw. komplett abschalten?

 

Gleiches gilt für den Bildschirmschoner. Standardmäßig soll er das Passwort nach reaktivieren eingeben müssen, außer eben bei bestimmten Benutzern die auch beim Kennwort keine Laufzeit haben sollen.

 

Gruß,

larazza

[IThome 10]

Kennwortrichtlinien gelten für ALLE Domänenbenutzer gleich, auf Container kann man keine Kennwortrichtlinien anwenden (zumindest nicht für Domänenkonten). Du kannst allerdings im Benutzerkonto selbst definieren, dass das Kennwort nie abläuft.

Die Warnung, dass das Kennwort abläuft, kommt wahrscheinlich von einer Gruppenrichtlinie. Diese Einstellung steht in der Computerkonfiguration - Windowseinstellungen - Sicherheitseinstellungen - Lokale Richtlinien - Sicherheitsoptionen - "Interaktive Anmeldung: Anwender vor Ablauf des Kennworts zum Ändern des Kennworts auffordern". Also RSOP.MSC ausführen, nachsehen,aus welcher Richtlinie die Einstellung kommt und dann auf 0 stellen.

Du kannst Dir 2 OUs erstellen, eine für die User mit dem Bildschirmschonerkennwort und eine für die ohne Bildschirmschonerkennwort und dann die entsprechenden Konten dorthin verschieben. In der ersten OU konfigurierst Du in der Benutzerkonfiguration der Richtlinie, dass ein Kennwort eingegeben werden muss bei Reaktivierung, in der zweiten eben nicht. Du kannst auch alle User in einer OU lassen, eine Gruppe entweder für die User, die das Kennwort eingeben müssen oder eine Gruppe für die, die das Kennwort nicht eingeben müssen, erstellen. In diese Gruppe kommen die entsprechenden User, Du erstellst eine Richtlinie, die zu den Mitgliedern der Gruppe passt und arbeitest mit der Sicherheitsfilterung des GPOs.

[larazza 10]

Danke für die Antwort.

Heist das, ich kann die Richtlinie auf z.B. 2 Monate für alle setzen und bei einzelnen Benutzern kann ich dies wieder durch "Kennwort läuft nie ab" aufheben?

 

Gruß,

larazza