Maximales Kennwortalter

[wirtnix 10]

Ist es wahr, dass ich das maximale Kennwortalter per Gruppenrichtlinie nicht einer OU zuordnen kann, sondern dieses nur für die ganze Domäne gilt?

[the_brayn 10]

Hiho,

 

Active Directory-Domänen verwenden Gruppenrichtlinienobjekte (GPOs) zur Speicherung einer Vielzahl von Konfigurationsinformationen, einschließlich der Kennwortrichtlinieneinstellungen. Obwohl Active Directory ein hierarchischer Verzeichnisdienst ist, der mehrere Ebenen von Organisationseinheiten (OUs) und mehrere GPOs unterstützt, müssen die Kennwortrichtlinieneinstellungen für die Domäne im Stammcontainer der Domäne festgelegt werden. Beim Erstellen des primären Domänencontrollers für eine neue Active Directory-Domäne werden automatisch zwei Gruppenrichtlinienobjekte erstellt: das Standardgruppenrichtlinienobjekt für die Domäne und das Standardgruppenrichtlinienobjekt für die Domänencontroller. Die Standarddomänenrichtlinie ist mit dem Stammcontainer verknüpft. Sie enthält einige wichtige domänenweite Einstellungen, einschließlich der Einstellungen für die Standardkennwortrichtlinie. Die Standarddomänencontrollerrichtlinie ist mit der OU Domain Controllers verknüpft. Sie enthält grundlegende Sicherheitseinstellungen für die Domänencontroller.

 

Es gilt als bewährte Vorgehensweise, diese vordefinierten Gruppenrichtlinienobjekte nicht zu ändern. Wenn Sie abweichende Kennwortrichtlinieneinstellungen anwenden müssen, sollten Sie stattdessen ein neues Gruppenrichtlinienobjekt erstellen und dieses mit dem Stammcontainer der Domäne oder der OU Domain Controllers verknüpfen und eine höhere Priorität als für das Standardgruppenrichtlinienobjekt zuweisen: Werden zwei Gruppenrichtlinienobjekte mit widersprüchlichen Einstellungen mit dem gleichen Container verknüpft, erhält das Objekt mit der höheren Priorität Vorrang.

 

Quelle: http://www.microsoft.com/germany/kleinunternehmen/issues/technology/protect/enforce_strong_passwords.mspx

 

IMHO ist es möglich in der OU eine restriktivere Richtlinier zu erstellen. Musst Du mal testen ob sie greift oder von der DefDomPol überschreiben wird.

 

Gruß Guido

[grizzly999 11]

Der Artikel hat recht. Kennwortrichtlinien können nur auf Domänenebene gesetzt werden.

 

grizzly999