Neue Passwörter im AD erzwingen

[al3x 11]

Hallo Leute,

 

in einer 2k3er-Domäne möchte ich die User zu neuen, komplexeren Passwörtern zwingen. Teilweise existieren noch PW mit 3 oder 4 Stellen.

Ein Aktivieren der Komplexitätsvorraussetzungen wirkt sich ja nur bei Änderungen aus und bei jeden User manuell in den Kontooptionen "...Kennwort bei Anmeldung ändern" aktivieren kanns ja auch net sein.

 

Wo ist hier der zentrale Ansatzpunkt?

[onewayticket 10]

Hi,

 

Passwortrichtlinien gelten Domänenweit, daher die Default Domain Policy bearbeiten.

Komplextität, Passwortalter, Anzahl der gespeicherten Passswörter.....

 

MfG

Onewayticket

[Windowsbetatest 10]

Hallo,

 

wie wäre es wenn du per Skript das bei allen Nutzern setzt?

 

Das Windows selbst kennt ja das Passwort nicht, also kann es auch nicht entscheiden, ob es den neuen Anforderungen entspricht.

 

Also mit "dsquery" alle User ausgeben per "|" an "dsmod" weiterleiten.

 

Ungeprüftes Beispiel (kein Test DC zur Hand) für Domäne Test.local und ou "Nutzer"

 

dsquery user "ou=Nutzer,dc=test,dc=local" | dsmod user -mustchpwd yes

 

BITTE vorher in Testumgebung TESTEN.

 

mfg

[NilsK 3.045]

Moin,

 

wenn es wenige User sind: Alle markieren, Rechtsklick, Eigenschaften -> Haken setzen. Bei Verteilung über mehrere OUs die Suchfunktion nutzen, um eine "flache" Liste zu erhalten.

 

Gruß, Nils

[al3x 11]

ne richtlinie dafür gibts ja net!?...also doch die beiden genannten varianten.

ok, dank euch!

[Windowsbetatest 10]

ne richtlinie dafür gibts ja net!?...also doch die beiden genannten varianten.

ok, dank euch!

 

Hallo,

 

kann es nicht geben, denn Windos kennt nur den Hash und nicht das Kennwort. Somit ist keine Entscheidung möglich, ob das Kennwort den Richtlinien entspriecht.

 

mfg

[al3x 11]

nein, das is klar. ich meinte ne richtlinie, dass alle passwörter (egal wie sie lauten) erneuert werden müssen.

[Daim 12]

Servus,

 

dann erstelle dir in der MMC "Benutzer und Computer" eine "benutzerdefinierte" gespeicherte Abfrage und verwende diesen Filter "(objectclass=user)(objectcategory=user)".

 

Anschließend markierst du mit "STRG+A" alle Benutzer und wählst mit einem Rechtsklick die Eigenschaften aus. Nun kannst du im Reiter "Konto" den Haken bei der Option "Benutzer muss Kennwort bei der nächsten" setzen.

[NorbertFe 2.276]

nein, das is klar. ich meinte ne richtlinie, dass alle passwörter (egal wie sie lauten) erneuert werden müssen.

 

Bei genauem Drübernachdenken fällt mir auch genau kein Grund ein, warum es sowas geben sollte. Mal von den bisher genannten Möglichkeiten (Script, Multiselect oder admodify) abgesehen.

 

Bye

Norbert

[NilsK 3.045]

Moin,

 

Off-Topic:

 

dann erstelle dir in der MMC "Benutzer und Computer" eine "benutzerdefinierte" gespeicherte Abfrage und verwende diesen Filter "(objectclass=user)(objectcategory=user)".

 

das ist hübsch, aber warum soll er nicht einfach die vordefinierte Suche nutzen, die dasselbe Ergebnis hat? Und den Rest des Vorschlags hatte ich bereits angegeben. ;)

 

Gruß, Nils

[NorbertFe 2.276]

Moin,

 

Off-Topic:

 

 

 

das ist hübsch, aber warum soll er nicht einfach die vordefinierte Suche nutzen, die dasselbe Ergebnis hat? Und den Rest des Vorschlags hatte ich bereits angegeben. ;)

 

Gruß, Nils

 

Off-Topic:

weils bei Kunden mehr Eindruck macht, wenn du den ldap string dann sogar noch aus dem Kopf kennst. ;)

 

D'n'r

 

Norbert

[al3x 11]

Servus,

 

dann erstelle dir in der MMC "Benutzer und Computer" eine "benutzerdefinierte" gespeicherte Abfrage und verwende diesen Filter "(objectclass=user)(objectcategory=user)".

 

Anschließend markierst du mit "STRG+A" alle Benutzer und wählst mit einem Rechtsklick die Eigenschaften aus. Nun kannst du im Reiter "Konto" den Haken bei der Option "Benutzer muss Kennwort bei der nächsten" setzen.

 

Bingo, dank dir!

[NorbertFe 2.276]

Ja, das ist natürlich viel schneller als alle anderen Lösungen. Viel Spaß noch.... ;)

 

Bye

Norbert

[onewayticket 10]

Hi,

 

hmm, und ich dachte an soetwas wie Domänenrichtline, wie rückständig von mir.

[Daim 12]

hmm, und ich dachte an soetwas wie Domänenrichtline, wie rückständig von mir.

 

Die Kennwortrichtlinie auf Domänenebene wird der OP schon im Einsatz haben, denn er schrieb:

 

Ein Aktivieren der Komplexitätsvorraussetzungen wirkt sich ja nur bei Änderungen aus und bei jeden User manuell in den Kontooptionen "...Kennwort bei Anmeldung ändern" aktivieren kanns ja auch net sein.

 

Aber die Richtlinie greift bei den bestehenden Benutzern erst, wenn sie ihr Kennwort ändern. Daher ist es empfehlenswert wenn die Kennwortrichtlinie konfiguriert wird, gleich die Option "Benutzer muss Kennwort bei der nächsten..." zu aktivieren.