Kennwortrichtlinien GPO greift nicht

[w2000 10]

Hallo,

 

ich habe per GPO eine Kennwortrichtlinien vergeben wobei erzwungen werden soll das jeder sien Passwort alle 50 Tage ändern muss. Die Gruppenrichtlinien habe ich auf Computer angewendet weil ich sie unter Benutzer nicht gefunden habe. Alle Benutzer die also Computer aus dieser GPO benutzen und auch Domänenmitglieder sind sollten also aufgefordert werden alle 50 Tage ihr Passwort zu ändern. So ist es aber nicht. Sie bekomen immer noch alle 14 Tage - 3 Wochen eine Meldung zum Kennwort ändern (ist wohl der Windows Standard). Woran könnte es liegen das die Richtlinien bei den Computer nicht greift? Oder dürfen Kennwortrichtlinine gar nicht per Gruppenrichtlinien auf GPO Ebene definiert werden? Dann würde ich mich allerdings fragen warum es die Möglichkeit dazu überhaupt gibt.

[Daim 12]

Servus,

 

ich habe per GPO eine Kennwortrichtlinien vergeben wobei erzwungen werden soll das jeder sien Passwort alle 50 Tage ändern muss.

 

auf "was" hast du die GPO verlinkt? Denn Kennwortrichtlinien die für Domänen-Benutzer gelten sollen, müssen auf Domänen-Ebene, idealerweise in der Default Domain Policy verlinkt werden. Wenn du eine Kennwortrichtlinie auf einer OU verlinkst, betrifft das lediglich die LOKALEN Benutzerkonten auf den Clients.

 

Die Gruppenrichtlinien habe ich auf Computer angewendet weil ich sie unter Benutzer nicht gefunden habe.

 

Das ist korrekt. Wichtig ist, dass die Kennwortrichtlinie auf Domänenebene verlinkt ist.

 

Woran könnte es liegen das die Richtlinien bei den Computer nicht greift?

 

Weil du vielleicht die GPO auf eine OU verlinkt hast?

 

Oder dürfen Kennwortrichtlinine gar nicht per Gruppenrichtlinien auf GPO Ebene definiert werden?

 

Hä? GPO Ebene?

[w2000 10]

danke dir für die vielen Info :)

[w2000 10]

Sorry nochmal aber irendwie greift die Kennwortrichtlinie immer noch nicht. Ich habe jetzt eine neue GPO direkt auf der Ebene der DefaultDomainPolicy GPO erstellt und die Kennwortrichtlinien unterhalb des Bereichs für Computer auf 50 Tage gesetzt. Die GPO greift aber immer noch nicht obwohl sie auf gleicher Ebende wie die DefaultDomainPolicy liegt und an keiner OU mehr klebt. was mache ich noch falsch?

[Sunny61 772]

Lies doch diesen Artikel, evtl. wirds dadurch klarer: Mehrere Kennwortrichtlinien mit Server 2008 - PSOs (Password Settings Object)

[NilsK 2.777]

Moin,

 

und dies:

faq-o-matic.net » Besonderheiten der AD-Kennwortrichtlinie

 

Gruß, Nils

[dmetzger 10]

Die GPO greift aber immer noch nicht obwohl sie auf gleicher Ebende wie die DefaultDomainPolicy liegt und an keiner OU mehr klebt.

 

Im Grundsatz schliesse ich mich den Vorrednern an: Die Standard-Kennwortrichtlinien für die Domäne sollten in der Standard-Domänenrichtlinie definiert sein. U.a. erläutert der Artikel von Nils weshalb.

 

Wenn zwei oder mehr GPO auf der gleichen Ebene (Standort, Domäne, Organisationseinheit) verknüpft sind und gegensätzliche Richtlinien enthalten, ist die "Link Order" (Verknüpfungsreihenfolge) entscheidend.

 

Gruppenrichtlinienverarbeitung und -Rangfolge

Managing inheritance of Group Policy: Group Policy

Working with Group Policy

[numx 10]

ok dann meint ihr sollte ich die Kennwortrichtlinie direkt in der Default Domain Policy einstellen? Ich habe jetzt dirkt auf gleicher Ebene ein Gruppenrichtlinienobjekt erstellt und dort die Kennwortrichtlinie eingestellt. Sie greifft aber nicht. Wird wahrscheinlich daran liegen das ich es nicht direkt in der Default Domain Policy gemacht habe. Obwohl ich mal gelesen habe das man die Default Domain Policy nicht anrühren soll. Das kann dann ja nicht stimmen. Bin jetzt etwas verwirrt. :(

[dmetzger 10]

ok dann meint ihr sollte ich die Kennwortrichtlinie direkt in der Default Domain Policy einstellen?

 

Ja. Ja. Ja.

 

Obwohl ich mal gelesen habe das man die Default Domain Policy nicht anrühren soll. Das kann dann ja nicht stimmen.

 

Doch. Mit Ausnahme der Kennwort- und Kontosperrrichtlinien. Aber das haben wir Dir ja alles bereits gesagt. :rolleyes:

[Daim 12]

Aber das haben wir Dir ja alles bereits gesagt. :rolleyes:

 

Haben wir das? Jaaaa bin schon wech, hab seit neuestem eh keine Zeit. :cool: