Kennwortrichtlinie Win2016 Server?

[JimB 0]

Hallo,

ich habe wie auf gruppenrichtlinien.de als die Kennwortrichtlinie in der Default Domain Policy geändert: Computerkonfiguration - Windows-Einstellungen - Sicherheitseinstellungen - Sicherheitseinstellungen - Kontorichtlinien - Kennwortrichtlinien - Kennwort muss Komplexitätsvoruassetzung entsprechen: Deaktiviert

Leider klappt es nicht ein kurzest Kennwort wie z.B. test zu setzen. Kann mir jemand bitte sagen wo ich das einstelle, das es egal ist was ein Benutzer als Kennwort eingibt? Vielen Dank!

[PyroTFD 14]

auch die Kennwortlänge geändert? Nur mal sicherheitshalber gefragt, weil dies nicht geschrieben wurde...

btw. würde ich definitiv nicht zu kurzen Passwörtern raten - außer für abgeschottete Testsysteme (und selbst dort könnten es andere PWs sein)

 

[Sunny61 772]

Hast Du auch nach dem Setzen der Änderungen auf den DCs ein

gpupdate /target:Computer

 

in einer administrativen Commandline ausgeführt?

[JimB 0]

vor 2 Minuten schrieb Sunny61:

Hast Du auch nach dem Setzen der Änderungen auf den DCs ein

 

gpupdate /target:Computer

 

 

in einer administrativen Commandline ausgeführt?

Nein, aber zwischendurch mal Neugestartet, ein paar Tage gewartet...

vor 5 Minuten schrieb PyroTFD:

auch die Kennwortlänge geändert? Nur mal sicherheitshalber gefragt, weil dies nicht geschrieben wurde...

btw. würde ich definitiv nicht zu kurzen Passwörtern raten - außer für abgeschottete Testsysteme (und selbst dort könnten es andere PWs sein)

 

stimmt! Es ging um einen Test ob die Richtlinie so wie ich es eingestellt habe überhaupt funktioniert. Kennwortlänge steht auf 0.

Nachtrag: ich habe die Policy auf dem DC eingetragen und auf dem selbigen einen Benutzer im Active Directory mit dem Kennwort test oder 123 versucht anzulegen was nicht funktioniert. 

[NilsK 2.777]

Moin,

 

was steht denn effektiv drin? Du kannst das einfach abfragen über

net accounts /domain

in einem CMD-Fenster.

 

Gruß, Nils

 

[JimB 0]

Ok, vielen Dank!!! gpudate und alles läuft. Aber warum?

[Gu4rdi4n 53]

Am 30.11.2018 um 12:43 schrieb JimB:

Ok, vielen Dank!!! gpudate und alles läuft. Aber warum?

Weil die Richtlinie erst gezogen wird, nachdem ein GPUPDATE gestartet wird - auch auf dem DC

[NorbertFe 1.799]

vor 6 Minuten schrieb Gu4rdi4n:

Weil die Richtlinie erst gezogen wird, nachdem ein GPUPDATE gestartet wird - auch auf dem DC

Nö. Das stimmt in dieser Pauschalität  nicht. Schon allein weil es eine Sicherheitsrichtlinie ist, ist das falsch und zweitens wurde ja mehrfach neu gestartet und dann wird eine geänderte Richtlinie auch gezogen. Wäre ja fatal, wenn ich jedesmal gpupdate ausführen müßte, damit neue Richtlinien wirken.

Bye

Norbert

[Gu4rdi4n 53]

vor 16 Minuten schrieb NorbertFe:

Nö. Das stimmt in dieser Pauschalität  nicht. Schon allein weil es eine Sicherheitsrichtlinie ist, ist das falsch und zweitens wurde ja mehrfach neu gestartet und dann wird eine geänderte Richtlinie auch gezogen. Wäre ja fatal, wenn ich jedesmal gpupdate ausführen müßte, damit neue Richtlinien wirken.

Bye

Norbert

Kannst du das mal genauer erläutern?

Was passiert denn anderes, wenn ich eine Sicherheitsrichtlinie ändere?

 

Eine google suche nach "kennwortrichtlinie gpupdate" zeigt, dass doch sehr viele Leute in den Genuss kommen, dass das eben nicht sofort gezogen wird.

Deshalb interessiert es mich, ob es hier vielleicht Fehlkonfigurationen sind?

[NorbertFe 1.799]

vor 1 Minute schrieb Gu4rdi4n:

Was passiert denn anderes, wenn ich eine Sicherheitsrichtlinie ändere?

Dann wird die Richtlinie geändert. Anders als diverse andere CSE wird aber die Security Policy zwangsweise alle 16h auch bei Nichtänderung komplett übernommen (entspricht in etwa einem manuellen /force bei gpupdate). Passwortrichtlinien können nur auf Domänenebene verlinkt werden, greifen deswegen auf den DC. Der DC hat einen Background Refresh von 5 Minuten. Also sollte eine entsprechende Änderung innerhalb von 5 Minuten (bei kleinen Umgebungen) wirksam sein. Wenn das nicht der Fall ist, muss man von Fall zu Fall prüfen, warum denn "viele Leute" was anderes erfahren, als ich. ;)

Bye

Norbert

[Gu4rdi4n 53]

Ja klar alle 5 minuten. So kenne ich das auch. Aber dieser "background refresh" ist ja prinzipiell nichts anderes als gpudate

[NorbertFe 1.799]

Ein Background Refresh zieht aber eben nur geänderte GPOs (es sei denn man hat was anderes konfiguriert) und das ist der Unterschied zu security policies.

bearbeitet 7. Dezember 2018 von NorbertFe