Mehrere Passwortrichtlinien pro AD // Konzept

[Zearom 10]

Guten Morgen,

 

ich grübel gerade über ein Projekt nach, bzw versuche die technische Machbarkeit einer Lösung zu verifizieren.

 

Es geht einmal darum das Benutzer innerhalb eines ADs mehrer Sicherheitslevel zugewiesen werden sollen. Sprich user aus dem B2B und B2C geschäft finden sich in einem AD und haben zugriff auf sensitive Daten bzw. im b2c-geschäft auf eher weniger wichtige und schützenswerte Daten. Dementsprechen kann ich einem B2C user nicht auferlegen das er sein passwort alle 90 Tage wechseln soll und er auf seine Kennworthistory und Komplexität achten muss. Bei unternehmenskritischen anwendungen ist das aber erforderlich um die Postit-Am-Monitor-Kleb-Speicherung von Passwörtern beim Partner zu verhindern.

 

Ich habe im Hinterkopf das die Passwortrichtlinie nur pro Domain festgelegt werden kann, konnte das nur nicht sinnvoll verifizieren, da ich in einer Doku gelesen hab diese richtlinie technisch als GPO behandelt wird. Ich kan ndazu wirklich nicht viel sagen, bin anwendungsentwickler und hab mein AD-Basiswissen und etwas entwicklungswissen in dem Bereich. Gibt es da irgendwie ne Lösung? ich möcht jetzt hier keine fertigen lösungsvorschläge haben, aber eventuell den ein oder anderen Tipp, Hinweis oder Weblink wäre toll. den ich stoche rmomentan etwas ziellos durch die gegend, wälze Bücher und Blogs find aber nicht wirklich was ergiebiges.

[IThome 10]

Das hast Du richtig im Kopf, Passwortrichtlinien für Domänenkonten können nur auf Domänenebene festgelegt werden. Legst Du sie auf OU-Ebene fest, gelten sie nur für Konten der lokalen Maschinen, die sich in der OU befinden.

Ich habe mal irgendwo von einer externen Software gelesen, die diese Beschränkung aufhebt, finde das aber leider nicht wieder. Mit Bordmitteln jedenfalls funktioniert es nicht ...

[Velius 10]

@Ithome

 

Bin schon zur Stelle:D :https://www.mcseboard.de/windows-forum-allgemein-28/passwordpolicy-89464.html#post543231

[IThome 10]

Genau das meinte ich, danke :)

[Zearom 10]

ah fein, danke! okay ich hab nie nach passwortfilter gesucht, und auf die idee den filter zu ersetzen bin ich nicht gekommen. vielen dank, mal da gleich durchklingeln.

 

mmmh muss ich den filter auch auf jedem dc der domänen setzen die mit dem zu sichernden ad vertrusted sind? oder reicht es auf den dcs aus, die für die domäne zuständig sind?

 

hier nochmal fürs archiv:

Password Policy / Password Filter for stronger Windows Passwords

[Weihnachtsmann 10]

Wenn ich mich richtig erinnere soll das auch mit Longhorn möglich werden.