Kennwortrichlinie läuft nicht sauber

[gelbeseiten 10]

Hallo zusammen,

 

ich habe eine Problem mit unserer Kennwortrichlinie, die wir seit letzter Woche gesetzt haben.

Eingestellt ist für alle Benutzer, siehe Anhang.

 

Wenn der Benutzer jetzt sein Kennwort ändert, bekommt er eine Meldung, die überhaupt nicht zu den Richtlinien passt! Siehe Anhang.

 

Hat jemand eine Idee, was der Fehler ist?

 

Besten Dank, und einen schönen Tag

 

Volkmar

[XP-Fan 217]

Hallo Volkmar,

 

in welcher Richtlinie hast du die Einstellungen definiert?

[PadawanDeluXe 75]

Hallo,

 

setze doch einfach mal das minimale Kennwortalter auf 0.

[IThome 10]

Hallo,

 

setze doch einfach mal das minimale Kennwortalter auf 0.

Und dann ?

[PadawanDeluXe 75]

Dann haste auf jedenfall kein Problem mehr mit dem Kennwortalter wie in Screenshot 2 zu sehen..... oder kann ein grade neu angelegter User etwa ein bereits ein 1 Tage altes Kennwort haben?

[IThome 10]

Es geht hier ja darum, dass falsche Werte beim Änderungsversuch angezeigt werden, die so gar nicht in der vermeintlich angewendeten Kennwortrichtlinie konfiguriert sind ...

Wird das Kennwort eines Domänenbenutzers geändert ? Wie war die Richtlinie vorher eingestellt ? Wo wurde die Kennwortrichtlinie konfiguriert (hat XP-Fan aber auch schon gefragt) ?

[gelbeseiten 10]

Hallo Danke, das ihr so schnell geantwortet habt, eingestellt war es auf default. Da die Firma noch nicht so groß war ging das, aber wir wachsen und wachsen, da kann mna nichts mehr via Vertrauen machen. Bei den Benutzern war eingetragen Passwort läuft nicht ab, mehr war nicht hinterlegt!

 

Ich bin mir meinem Latain am Ende, ich bin schon am zweifel, ob ich denn alles bedacht habe, aber, man kann da ja nicht soooooo viel vergessen und falsch machen ;)

 

Außerdem, das Kennwort minmale Kennwortalter, bedeutet ja nur, wenn ein neuer Benutzer sich anmeldet, und er aufgefordert wird sein Kennwort sofort zu ändern, er es nicht sofort wieder ändern kann, sondern erst am nächsten Tag.

 

Ich werde das nächste Woche mit einem neuen Benutzer mal testen unter einer neuen OU, völlig herausgenommen, aus der normalen Struktur. Mal sehen, ob das was bringt.

 

Sonst noch Ideen?

 

Besten Dank

 

Volkmar

–

Achso, habe ich vergessen, ich habe eine neue Richtlinie erstellt, da ich i.d.R immer nur das, was ich wirklich definieren will in eine Richlinie packe, um es übersichtlich zu halten!

 

Gruß

 

Volkmar

[IThome 10]

Wo hast Du die Richtlinie verknüpft ? Und was willst Du mit einem User in einer anderen OU (völlig herausgenommen wovon ?) testen ?

[grizzly999 11]

Und was für eni OS/SP haben DC und vor allem der Client?! Bei mir sieht die Fehlermeldung, wenn das nachstellen will, komplett anders aus. :confused:

 

 

grizzly999

[gelbeseiten 10]

Hallo zusammen,

 

sorry, dass ich mich erst jetzt melde, aber leider bin ich gerade nicht Voort.

Ich habe für jede Abteilung (OU), bei denen ich die Kennworte nach xx Tagen geändert haben möchte, das Kennwortgruppenrichtlinienobjekt verknüpft!

 

Ich habe am WE noch was gefunden, und zwar, dass jemand sich an der Default Domain Policy zu schaffen gemacht hat. Die war genau so eingestellt, wie die Meldung. Ich habe es geändert, doch leider, selbst 24 Std später, bekomme ich die Meldung immer noch.

 

Ich wollte einen Benutzer in eine Leere OU legen, und dann den Versuch nochmals machen, wenn die Meldung wieder kommt, muss es ja weiter vorher kommen!

 

@Grizzly

Wie sie sieht anders aus? Bekommst Du auch nicht die Werte, die Du eingestellt hast?

 

BS Server 2003 SP2

Client Windows XP SP2

 

Gruß

 

Volkmar

[XP-Fan 217]

Hi,

 

du solltest diese Einstellung nur in der Default Domain Policy treffen.

Hier gilt diese für alle User welche diese Richtlinie lesen dürfen.

 

Es ist nicht möglich unterschiedliche Kennwortrichtlinien innerhalb

einer Domain zu setzen bei W2k / W2k3.

 

Siehe auch: Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[NorbertFe 2.045]

Ich habe für jede Abteilung (OU), bei denen ich die Kennworte nach xx Tagen geändert haben möchte, das Kennwortgruppenrichtlinienobjekt verknüpft!´

 

Das wird nicht funktionieren.

 

Ich habe am WE noch was gefunden, und zwar, dass jemand sich an der Default Domain Policy zu schaffen gemacht hat. Die war genau so eingestellt, wie die Meldung.

 

Logisch. ;)

 

Ich habe es geändert, doch leider, selbst 24 Std später, bekomme ich die Meldung immer noch.

 

Was hast du denn jetzt dort eingestellt? ;)

 

Ich wollte einen Benutzer in eine Leere OU legen, und dann den Versuch nochmals machen, wenn die Meldung wieder kommt, muss es ja weiter vorher kommen!

 

Vergiß deinen Test. Der wird keinen Erfolg haben. Passwortrichtlinien funktionieren nur auf Domain-Ebene und bis W2k3 auch nur eine Einzige pro Domain (wenn du nicht af 3rd Party Software ausweichen willst/kannst).

 

 

Bye

Norbert

[gelbeseiten 10]

Hi,

 

danke für die Antwort, man lern nie aus, das hätte ich nicht gedacht.

Mir ist der Sinn noch nicht ganz lar, warum das so ist?

 

Aber das löst trotzdem nicht ganz mein Problem, d.H. ich muss es in der DDP definieren? Ich habe aber Benutzer, wie Service Konten, bei denen die Kennworte nicht geändert werden sollen, wir an mehreren Standorten und möchten auch dort andere Kontorichlinien erstellen.

 

Kann ich ds ohne weiteres machen?

 

 

Gruß

 

Volkmar

[Daim 12]

Servus,

 

du hast dir den Artikel, den XP-Fan verlinkt hat durchgelesen?

Kennwortrichtlinien die für Domänen-Benutzer gelten sollen, müssen auf Domänen-Ebene, idealerweise in der Default Domain Policy verlinkt werden. Denn wenn du eine Kennwort-Policy auf einer OU verlinkst, betrifft das lediglich die LOKALEN Benutezrkonten auf den Clients.

 

Bei den Dienst-Konten setzt du in den Benutzereigenschaften den Haken "Kennwort läuft nie ab".

 

Mehrere Kennwortrichtlinien in EINER Windows Server 2003 Domäne ist so nicht möglich.

Dort müsstest du für jeden Standort eine Sub-Domäne erstellen um mit mehreren Kennwortrichtlinien zu arbeiten. Das funktioniert mit Boardmitteln erst ab Windows Server 2008 und nennt sich dort "Password Settings Objects" kurz PSO. Wenn du unter Windows Server 2003 auch mit mehreren Kennwortrichtlinien arbeiten möchtest, musst du auf Dritt-Anbieter ausweichen:

 

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[NorbertFe 2.045]

danke für die Antwort, man lern nie aus, das hätte ich nicht gedacht.

Mir ist der Sinn noch nicht ganz lar, warum das so ist?

 

Was ist dir nicht klar? Warum du nur eine Policy haben kannst, oder warum du die nur auf Domain-Ebene verlinken darfst?

 

Aber das löst trotzdem nicht ganz mein Problem, d.H. ich muss es in der DDP definieren?

 

Nein, du mußt es nicht in der DDP definieren, sondern in einem GPO auf Domain-Ebene. Das kann auch die DDP sein.

 

Ich habe aber Benutzer, wie Service Konten, bei denen die Kennworte nicht geändert werden sollen,

 

Und wo ist das Problem? Dann setzt du dort den Haken Kennwort läuft nicht ab.

 

wir an mehreren Standorten und möchten auch dort andere Kontorichlinien erstellen.

 

3rd Partysoftware oder Domainupdate auf W2k8 mode.

 

 

Kann ich ds ohne weiteres machen?

 

Liest du die Antworten die man dir gibt? Sieht irgendwie nicht so aus.

 

Bye

Norbert