Welche Richtlinie greift hier für Kennwörter?

[sunghost 10]

Hallo,

 

ich habe hier einen Win7 Client in einer Dom-Struktur. Die Richtlinien der Dom sind deaktiviert. Dies bescheinigt mir auch der Richtlinienergebnissatz für den Client und User. Die lokale Richtlinie umfasst

Kennwortlänge 0

Alter 0

Komplex keine

History keine

 

also eigentlich könnte ich jedes PW eingeben, was mir einfällt. Das Problem ist nun, dass ich aber unter dem User das PW nicht ändern kann. Es kommt die Meldung, dass es nicht den Anforderungen der Dom entspricht ?!

Ich kann mir das nicht erklären - ihr?

[Gu4rdi4n 54]

Poste doch mal den ergebnissatz der Richtlinien.

 

Bin mir nicht ganz sicher, aber kann es sein, dass der PC eine Richtlinie solange behält, bis diese "neu gesetzt" wird?

 

Ich kann mir nicht vorstellen, dass, sobald du die GPO abschaltest jede Einstellung zurückgesetzt wird.

[XP-Fan 215]

Hallo,

 

wirf mal einen Blick in die Default Domain Policy rein, dort solltest du fündig werden.

[sunghost 10]

Hallo,

die Domain Policy ist ja deaktiviert. PC ist in einer OU ohne Policies, sodass die Vererbung unterbrochen wird. Eigenartig ist, wenn ich einen gpresult /r auf dem Client ausführe, dann zeigt er die Anwendung der Dompol an und wenn ich mir den Ergebnissatz in der mmc anzeigen lasse, dann sind die Einstellungen auf nicht konfiguriert und die lokalen auf min. Das finde ich komisch, aber warum?

[lefg 276]

Hallo,

 

ich sehe das so:

 

Grundsatz: Nicht konfiguriert ist etwas anderes als deaktiviert,

 

Ein einfaches Beispiel: Mit Aktivieren und Deaktivieren wird eine Einstellung geändert letztendlich in der Registry (des Clients). Mit nicht konfiguriert verschwindet die Richtlinie in der Übertragung von Server zum Client, die aktuelle Einstellung am Client, in dessen Registry bleibt davon unberührt.

 

Nach dem Deaktivieren der DDP werden dessen Werte nicht mehr an die Clients übertragen, an den Clients ändert sich aber nichts dadurch, die Werte, Einstullungen bleiben so erhalten. Auch das Verschieben eines Clients aus dem Wirkungsbereich einer Richtlinie führt zu keiner Änderung eines Wertes.

bearbeitet 26. September 2013 von lefg

[sunghost 10]

Ja so kann ich es mir auch erklären, aber warum zeigt der Richtlinienergebnissatz für den Client, dann aber etwas anderes? Müsste er dann nicht diesen letzten Stand anzeigen? Und wenn nicht, wie kann ich ihn dazu bringen die lokale anzuwenden, oder diese irgendwie zu vergessen?

[lefg 276]

Und wenn nicht, wie kann ich ihn dazu bringen die lokale anzuwenden, oder diese irgendwie zu vergessen?

 

Momentan fällt mir ein: den Client aus der Domäne nehmen, dann schauen, ob sich das Kennwort ändern lässt.

 

Falls es das primäre Ziel ist an einem einzelnen Client.

 

 

 

Ich mache es so: Das lokale Admin-Kennwort aller Clients ist ein einheitliches in der Domäne, das wird verteilt mittels GPP: Computerkonfiguration, Einstellungen, Systemsteuerungseinstellungen, Lokale Benutzer und Gruppen. Das Kennwort unterliegt natürlich der wirksamen Kennwortrichtlinie der Domäne. Falls für die Domäne komplexe Kennwörter mit einer Mindestlänge gelten, dann gilt das natürlich auch für lokale Kennwörter der Clients per Richtlinie der Domäne.

bearbeitet 26. September 2013 von lefg

[sunghost 10]

Hi,

eigentlich geht es um einen ganz anderen Test, aber dieser "Fehler" kristalisierte sich halt heraus und ich versuche mir zu erklären wie und wo und weshalb sowieso ;).

Evtl. hat noch jemand eine Idee - danke euch erstmal

[lefg 276]

Warst Du schon mal bei http://www.gruppenrichtlinien.de/

....eigentlich geht es um einen ganz anderen Test, .....

 

Wir sind schon neugierig. :)