Vereinfachte Anmeldung an AD zb. mit E-Token

[dan2511 10]

Hallo leute,

 

ich hoffe ich finde hier noch ein paar hilfreiche tipps... also folgendes problem -

zunächst die gegebenheiten:

 

konzern mit sehr grosser fertigung. dort arbeiten mitarbeiter die "edv-technisch" nicht sehr begabt sind. vor jeder maschine steht ein pc der von ganzen teams verwendet wird (9-10 personen). die teams arbeiten mehrschichtig und alle mit dem selben benutzeraccount.

 

nun zum problem:

 

wir haben hier eine "alte" domäne (NT4) zu AD migriert. in der alten domäne war das ganze so gehandhabt, dass das kennwort für diesen so genannten "gruppen-account" nie geändert wurde. mit der umstellung gab es einige sicherheitsanpassungen (passwortwechsel alle 90 tage, passwortkomplexität etc). wenn jetzt die erste schicht nach 90 tagen das kennwort ändert, dann kann die 2. schicht nicht mehr arbeiten. zudem vermute ich dass die kennwortwechel für die "nicht-edv-begabten" mitarbeiter zum unlösbaren problem werden. der konzern lebt aber von der fertigung.

 

habt ihr hier noch einige ideen bzw. hattet ihr schon mal das selbe problem???

 

ich habe mir überlegt das ganze mit tokens zu managen (aladdin e-token und single-sign on). hier besteht die möglichkeit den token mit einem passwort zu versehen. wenn dieses passwort eingegeben wurde, dann authentifiziert sich der token mit ad (**** gesagt, er füllt das anmeldefenster aus und drückt enter). auch der kennwortwechsel wird automatisch vorgenommen.

 

das ist aber ein verwaltungsaufwand ohne gleichen... vergisst jemand den token zu hause kann er nicht arbeiten etc.

 

falls irgend jemand irgend welche lösungen parat hat - bitte posten - ich wäre super dankbar dafür...

 

 

gruss daniel

[CoolAce 17]

Hy,

 

mir fällt hierbei so SmartCard lösungen ein, die Karte kann man ja neben den PC legen bzw. in einen abgeschlossenen Schreibtisch. Die Lösung ist Zertifikatsbasierend und sehr sicher

 

Gruß

 

CoolAce

[dan2511 10]

Jo E-Token ist ja eigentlich ne Smartcard - aber eben ein Token mit RSA Chip. ist deshalb meines erachtens besser weil man hier keinen Kartenleser benötigt... sondern USB. und das mit der karte hab ich mir auch schon überlegt - hier haben wir aber das problem dass hier wohl vor einiger zeit als eine zugangskontrolle gekauft wurde die günstigsten karten gekauft wurden (ohne chip). und mit der karte kann man das nicht :-( zudem hat die geschäftsleitung das sofort geblockt, da damals schon der vorschlag da war, die besseren karten zu kaufen, und dann für so etwas mit zu benutzen - quasi will keiner den fehlkauf verantworten :suspect:

[Spaceboy 10]

Hallo,

 

ich stehe vor dem gleichen Problem und würde gerne erfahren welche Lösung nun in der Praxis tatsächlich zum Einsatz gekommen ist. Selbstverständlich auch die Erfahrungen in der Zwischenzeit.

 

Vielen Dank für's Feedback...

 

Grüsse

 

Spaceboy

[NorbertFe 2.110]

Wenn es seit wahrscheinlich über 10 Jahren ohne Kennwortwechsel ging, und sowieso mehrere Leute den selben Account verwenden, was genau spricht dann dagegen, dies für diese PCs/Accounts weiter so beizubehalten? Solltest du jetzt Windows 2008 Domäne haben, wären ja weitere Kennwortrichtlinien machbar.

 

Bye

Norbert