Minimales Kennwortalter

[Haennerson 10]

Hmm, solltest du das nicht merken wenn du dein PW geändert hast? :D Das kannst du aber in dem Active Directory Users and Computers Snap in im Eigenschaften Dialog unter dem Reiter additional information nachschauen...

:wink2: eigentlich schon... schande über mich, habs damals sofort wieder zurück geändert... ich warte jetzt mal bis morgen ab, sorry...

 

@Security: Warum verwendest du nur 5 Stellen, eine Passworthistory von 1 und keine Komplexität? 5 Stellige Passwörter mit den Kriterien sind potentiel sehr einfach...

 

Weisst du... ich musste nun schon fast zwei Jahre stürmen, dass die Leute überhaupt mal die PW's ändern... was soll ich tun wenn die Chefs meinen dies sei nicht notwendig, wär möchte überhaupt was bei uns holen?? wenns nach mir ginge wäre auch alles aktiviert...

 

 

Ah ja danke für die Angabe der Tools, weil den betreffend Reiter habe ich nicht gefunden...

 

Die Leute laufen jetzt schon Amok, dass das PW geändert werden muss...

[grizzly999 11]

:Weisst du... ich musste nun schon fast zwei Jahre stürmen, dass die Leute überhaupt mal die PW's ändern... was soll ich tun wenn die Chefs meinen dies sei nicht notwendig, wär möchte überhaupt was bei uns holen?? wenns nach mir ginge wäre auch alles aktiviert...

 

...

Das verstehe ich ein Stück weit, aber stimmig sollte dann das PW-Konzept meiner bescheidenen Meinung nach trotzdem sein. Ein Jahr max. Kennwortalter bei 5 Chars und keine Komplexität finde ich ein wenig arg laaange.

Und 1 Tag Minumum Kennwortalter bei einer Kennwortchronik von 1, wobei beide Werte nur in Verbindung Sinn machen, ist auch nicht optimla. Oder besser gefragt, was soll mit diesen 2 Werten erreicht werden?

 

grizzly999

[Haennerson 10]

Das verstehe ich ein Stück weit, aber stimmig sollte dann das PW-Konzept meiner bescheidenen Meinung nach trotzdem sein. Ein Jahr max. Kennwortalter bei 5 Chars und keine Komplexität finde ich ein wenig arg laaange.

Und 1 Tag Minumum Kennwortalter bei einer Kennwortchronik von 1, wobei beide Werte nur in Verbindung Sinn machen, ist auch nicht optimla. Oder besser gefragt, was soll mit diesen 2 Werten erreicht werden?

 

grizzly999

 

 

Der eine Tag ist nur, weil ich den Test etwas beschleunigen wollte. Irgendwie wissen wir ja nocht nicht wirklich wann die Zeitrechnung beginnt. Urspünglich waren es 30 Tage und es werden auch wieder 30 Tage werden.

 

Ich denke so ist es doch etwas stimmiger...

[nerd 28]

Sehr gute Idee, das :)

Nur muss man dazu vorher die ALTools von Microsoft entsprechend installiert haben, was ich aber empfehle, und für diesen besonderen Fall sowieso. Da bekommst du doch wesentlich nähere Infos ;)

 

hmm ok, die installiere ich immer mit - hatte ganz vergessen, dass es Leute geben könnte, die das nicht machen :D

 

@Haennerson: Wie groß ist denn euer Netz und wie wichtig sind die Systeme für euren Betrieb?

[Dirk_privat 10]

@grizzly999

Kontorichtlinien für AD Objekte funktionieren nur auf der Domain Ebene, daher wäre dieser Versuch sinnlos

 

(als kleine Anmerkung)

Die Kontorichtlinien gehen auch auf der Domain Controller Richtlinie und dort reicht es auch aus, weil nur die DC´s authentifizieren.

 

Gruß

Dirk

[Haennerson 10]

hmm ok, die installiere ich immer mit - hatte ganz vergessen, dass es Leute geben könnte, die das nicht machen :D

 

@Haennerson: Wie groß ist denn euer Netz und wie wichtig sind die Systeme für euren Betrieb?

 

Ich hab die nun auch installiert, bin ja noch ein kleiner Admin und lerne dazu. Tolle Sache. Hab also anscheinend heute Morgen mal noch das PW hin und her gewechselt. Entschuldige mich also...

 

Unser Netz ist umfasst ca. 50 User/Clients, 1 Standort. Die Systeme sind schon wichtig... wobei in Augen der GL anscheinend nicht so.

[grizzly999 11]

[quote name=Dirk_privat

(als kleine Anmerkung)

Die Kontorichtlinien gehen auch auf der Domain Controller Richtlinie und dort reicht es auch aus, weil nur die DC´s authentifizieren.

 

Gruß

Dirk[/quote]

Nein, nein und nochmals nein!

 

Es ist genau so, wie ich es sage ;)

 

grizzly999

[Daim 12]

Servus,

 

(als kleine Anmerkung)

Die Kontorichtlinien gehen auch auf der Domain Controller Richtlinie und dort reicht es auch aus, weil nur die DC´s authentifizieren.

 

das überdenkst du bitte noch einmal.

Dieser Link ist hilfreich:

 

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[Dirk_privat 10]

@grizzly999

Tja, dann mußt Du es eben selbst probieren, auf jeden Fall funktioniert´s ;)

 

Vor einiger Zeit hat MS mal propagiert die Default Domain Policy unangetastet zu lassen. Daher wurde die Richtlinien auf der DC Policy gesetzt. Mittlerweile hat MS die Meinung geändert und empfiehlt es wieder auf der Default Domain Policy zu setzen. Gehen tut aber beides.

 

Ist aber auch egal, hauptsache die Richtlinien ziehen.

 

Gruß und einen schönen Feierabend

Dirk

[nerd 28]

Ich hab die nun auch installiert, bin ja noch ein kleiner Admin und lerne dazu. Tolle Sache. Hab also anscheinend heute Morgen mal noch das PW hin und her gewechselt. Entschuldige mich also...

 

Unser Netz ist umfasst ca. 50 User/Clients, 1 Standort. Die Systeme sind schon wichtig... wobei in Augen der GL anscheinend nicht so.

 

Hi,

 

dann würde ich sagen, dass es deine Aufgabe sein sollte der GL fundiert dazulegen, dass es notwendig ist vernünftige Sicherheitsmechanismen zu verabschieden :D Ich weiß, das ist keine einfache Aufgabe... :wink2:

[NorbertFe 1.799]

@grizzly999

Tja, dann mußt Du es eben selbst probieren, auf jeden Fall funktioniert´s ;)

 

Vor einiger Zeit hat MS mal propagiert die Default Domain Policy unangetastet zu lassen. Daher wurde die Richtlinien auf der DC Policy gesetzt. Mittlerweile hat MS die Meinung geändert und empfiehlt es wieder auf der Default Domain Policy zu setzen. Gehen tut aber beides.

 

Ist aber auch egal, hauptsache die Richtlinien ziehen.

 

Gruß und einen schönen Feierabend

Dirk

 

Nein das geht definitiv NUR auf Domänenebene (es muß auch nicht die Default Domain Policy sein). Das kann gern jeder nochmal testen. Falls das bei dir anders sein sollte wäre mal interessant, was ein RSOP auf dem Client und auf dem DC dazu sagt.

 

Bye

[grizzly999 11]

@grizzly999

Tja, dann mußt Du es eben selbst probieren, auf jeden Fall funktioniert´s ;)

 

Vor einiger Zeit hat MS mal propagiert die Default Domain Policy unangetastet zu lassen. Daher wurde die Richtlinien auf der DC Policy gesetzt. Mittlerweile hat MS die Meinung geändert und empfiehlt es wieder auf der Default Domain Policy zu setzen. Gehen tut aber beides.

 

Ist aber auch egal, hauptsache die Richtlinien ziehen.

 

Gruß und einen schönen Feierabend

Dirk

Ich habe das schon versucht, und es geht nicht. Warum das nur auf Domänenebene geht, steht hier:

Group Policy application rules for domain controllers

 

grizzly999