Kennwortrichtlinien

[Stiftler`s Dad 10]

Hallo Zusammen,

 

ich kann unter der Gruppenrichtlinie die Kennwortrichtlinie nicht ändern obwohl ich als Administrator angemeldet bin. Jetzt läuft bei allen Benutzern das Passwort nach 42 Tagen ab. Woran kann das liegen?

 

Gruß

 

Stiftler`s Dad

[edocom 10]

bist du auch domäneadmin?

[Stiftler`s Dad 10]

Ja bin ich.

[Daim 12]

Moin,

 

ich kann unter der Gruppenrichtlinie die Kennwortrichtlinie nicht ändern obwohl ich als Administrator angemeldet bin.

 

wie lautet denn die genaue Fehlermeldung?

Vom Sicherheitsaspekt her, sind aber die 42 Tage eher von Vorteil... was eher zum Nachteil des Anwenders führt.

Denn dann tauchen sicherlich überall gelbe Zettel auf den Monitoren wieder auf ;) .

[Stiftler`s Dad 10]

Es gibt keine Fehlermeldung. Die Felder sind grau hinterlegt und ich kann die Werte nicht ändern. Es geht um einen Server in der Schule wo die Schüler alle Ihr eigenes Benutzerprofil haben und die ständig bei den Lehrern ankommen und neue Passwörter haben möchten.

[edocom 10]

kann es sein dass du nur eingeschränkte rechte auf der ad hast?

[Stiftler`s Dad 10]

Ich bin als Administrator angemeldet und habe normal alle Rechte.

[Daim 12]

Liegen evtl. Replikations- oder DNS-Probleme vor?

Bitte die Logs der DCs überprüfen. Oder ist vielleicht der PDC-Emulator nicht ereichbar?

Oder stimmen evtl. die Berechtigungen auf dem SYSVOL-Verzeichnis nicht mehr?

[Stiftler`s Dad 10]

Also die Einstellung unter Default Domain Controllers Policy sind:

 

Richtlinie Einstellung

Kennwort muss Komplexitätsvoraussetzungen entsprechen Deaktiviert

Kennwortchronik erzwingen\ngespeicherte Kennwörter 0 gespeicherte Kennwörter

Maximales Kennwortalter 0 Tage

Minimale Kennwortlänge 4 Zeichen

Minimales Kennwortalter 1 Tage

 

Ereignisprotokoll zeigt an: Ereigniskennung 1126

 

Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen.

 

Zusätzliche Daten

Fehlerwert:

8430 Im Verzeichnisdienst ist ein interner Fehler aufgetreten.

Interne Kennung:

3200c89

 

Benutzeraktion

Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann. Für die Diagnose dieses Problems können Sie das Dienstprogramm nltest verwenden.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie

 

Kann das damit zusammenhängen???

[Daim 12]

Ereignisprotokoll zeigt an: Ereigniskennung 1126

 

Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen.

 

Ist der GC nicht auf jedem DC aktiviert? Falls nicht würde ich dir das ans Herz legen.

Beachte dazu die Hinweise in diesem Artikel:

 

Yusuf`s Directory - Blog - Globaler Katalog (Global Catalog - GC)

 

 

Falls auf dem DC der GC aktiviert ist, überprüfe ob der DC sich auch tatsächlich als GC ausgibt.

 

Yusuf`s Directory - Blog - Globaler Katalog – Sein oder nicht sein

 

Überprüfe das DNS, dort ist es ganz wichtig, dass die Einträge (_gc) von den DCs auf dem der GC aktiviert ist, existieren.

Sowohl in der Forward Lookup Zone als auch in der _msdcs.Root-Domäne.TLD.

 

Freunde dich mit den beiden Tools REPADMIN (mit /EXPERTHELP bekommst du weitere Infos) sowie DNSLint an.

 

 

Kann das damit zusammenhängen???

 

Durchaus. Aber erneut die Frage, ist der PDC-Emulator erreichbar?

 

Werfe aber noch einen Blick auf diese Hinweise:

http://www.microsoft.com/technet/support/ee/transform.aspx?ProdName=Windows%20Operating%20System&ProdVer=5.2&EvtID=1126&EvtSrc=Active%20Directory&LCID=1033

[marcmarc 10]

Wir haben nur einen DC und dort ist auch zwangsläufig der GC aktiviert.

Des Weiteren läuft die Software Net Admin. Weiß nicht ob das da auch mit zusammenhängen kann. Es scheint als würde die Richtlinie von woanders bezogen werden aber es existiert nur die default domain policy vom Server.

Wenn ein neuer Benutzer mit Net Admin angelegt wird, wird er sofort gesperrt weil die Kennwortrichtlinien nicht passen.

Frage ist ob das wirklich mit der GC-Fehlermeldung zu tun haben kann da alle bestehenden Benutzer sich Problemlos anmelden können usw.

 

Azubi von Stiff ;)

[Daim 12]

Wir haben nur einen DC und dort ist auch zwangsläufig der GC aktiviert.

 

Den man aber auch deaktivieren kann ;) .

Des Weiteren, nur weil der Haken zum GC gesetzt ist, heißt es noch lange nicht das der DC sich als diesen auch aus gibt. Die Artikel zum überprüfen eines GCs, habe ich in meinem vorherigen Post verlinkt.

 

 

Des Weiteren läuft die Software Net Admin. Weiß nicht ob das da auch mit zusammenhängen kann.

 

Ich auch nicht, da ich sie nicht kenne. Das sollte man ggf. mit dem Hersteller klären.

 

 

Es scheint als würde die Richtlinie von woanders bezogen werden aber es existiert nur die default domain policy vom Server.

 

Hast du auf einem XP-Client die GPMC installiert und versuchst als Domänen-Admin die Default Domain Policy zu ändern?

Falls nicht ---> durchführen.

 

 

Frage ist ob das wirklich mit der GC-Fehlermeldung zu tun haben kann da alle bestehenden Benutzer sich Problemlos anmelden können usw.

 

Das kann schon damit zusammenhängen. Denn der DC hat evtl. mehrere Probleme.

Zeigt es z.B. die FSMO-Rollen alle an oder zeigt er einen Fehler?

 

Yusuf`s Directory - Blog - Die FSMO-Rollen verschieben

 

Man muss schon systematisch vorgehen. Wichtig ist nunmal die Rolle des PDC-Emulators und in deinem Fall diese Software Net Admin. Prüfen... telefonieren... kontrollieren...

[marcmarc 10]

dcdiag

 

gibt folgendes aus:

 

 

Domain Controller Diagnosis

 

Performing initial setup:

Done gathering initial info.

 

Doing initial required tests

 

Testing server: Standardname-des-ersten-Standorts\REALSCHULE2

Starting test: Connectivity

......................... REALSCHULE2 passed test Connectivity

 

Doing primary tests

 

Testing server: Standardname-des-ersten-Standorts\REALSCHULE2

Starting test: Replications

[Replications Check,REALSCHULE2] DsReplicaGetInfoW(PENDING_OPS) failed with error 8453,

Der Replikationszugriff wurde verweigert..

......................... REALSCHULE2 failed test Replications

Starting test: NCSecDesc

......................... REALSCHULE2 passed test NCSecDesc

Starting test: NetLogons

......................... REALSCHULE2 passed test NetLogons

Starting test: Advertising

......................... REALSCHULE2 passed test Advertising

Starting test: KnowsOfRoleHolders

......................... REALSCHULE2 passed test KnowsOfRoleHolders

Starting test: RidManager

......................... REALSCHULE2 passed test RidManager

Starting test: MachineAccount

......................... REALSCHULE2 passed test MachineAccount

Starting test: Services

......................... REALSCHULE2 passed test Services

Starting test: ObjectsReplicated

......................... REALSCHULE2 passed test ObjectsReplicated

Starting test: frssysvol

......................... REALSCHULE2 passed test frssysvol

Starting test: frsevent

......................... REALSCHULE2 passed test frsevent

Starting test: kccevent

......................... REALSCHULE2 passed test kccevent

Starting test: systemlog

......................... REALSCHULE2 passed test systemlog

Starting test: VerifyReferences

......................... REALSCHULE2 passed test VerifyReferences

 

Running partition tests on : ForestDnsZones

Starting test: CrossRefValidation

......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... ForestDnsZones passed test CheckSDRefDom

 

Running partition tests on : DomainDnsZones

Starting test: CrossRefValidation

......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... DomainDnsZones passed test CheckSDRefDom

 

Running partition tests on : Schema

Starting test: CrossRefValidation

......................... Schema passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... Schema passed test CheckSDRefDom

 

Running partition tests on : Configuration

Starting test: CrossRefValidation

......................... Configuration passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... Configuration passed test CheckSDRefDom

 

Running partition tests on : server2003

Starting test: CrossRefValidation

......................... server2003 passed test CrossRefValidation

Starting test: CheckSDRefDom

......................... server2003 passed test CheckSDRefDom

 

Running enterprise tests on : server2003

Starting test: Intersite

......................... server2003 passed test Intersite

Starting test: FsmoCheck

......................... server2003 passed test FsmoCheck