Kennwortänderung VPN

[fly87 10]

Hallo Zusammen,

 

vielleicht kann mir jemand eine Stütze bei folgender Überlegung sein...

 

Wir nutzen ein auf Cisco ASA basierendes VPN...

 

Wenn ein Kennwort abläuft, weißt der Client daraufhin und der Benutzer muss das AD Kennwort ändern.

Das klappt auch wunderbar...

 

Das Kennwort wird in der AD Datenbank geändert.

 

Will der Benutzer sich dann allerdings an einer Ressource im Netzwerk anmelden, wird er aufgefordert, ein Kennwort einzugeben.

 

Was ich inzwischen weiß ist, dass Kenwort wird Online geändert. Aber das "lokale" Profil auf dem Notebook des Users erhält das neue Kennwort nicht. Erst wenn der Benutzer dann hingeht und ändert das Kennwort nochmals über das Betriebssystem, dann funktioniert es.

 

Das tritt von 100 Usern bei 5 auf...

 

So ganz erschließt sich mir der Grund nicht, weil auch die Logs nicht wirklich etwas hergeben...

 

Hat jemand eine Idee, was da schief sein könnte?

 

Meine Vermutung ist, dass neue Kennwort wird nicht auf das lokale Profil repliziert.

 

Vielen Dank im Voraus.

[Daniel -MSFT- 129]

Wenn Du das Kennwort mit dem Client online änderst, gilt das auch für die zwischengespeicherten benutzerdaten lokal. Das ist nicht Dein Problem. Du müßtest etwas näher Dein Netzwerkszenario beschreiben. Das neue Kennwort wird nämlich nur für neue Authentifizierungen sofort wirksam. Weiterhin musst Du die Replikation über mehrere Domain Controller und möglicherweise mehrere Standorte berücksichtigen - hier kann es auch eine Weile dauern, bis das geänderte Kennwort überall propagiert wurde. Schließlich gibt es noch Server, die die Authentifizierung zwischenspeichern. Zum Beispiel speichert Exchange in der Regel Authentifizierungen für 2h. Erst danach fragt der Server wieder nach.

 

Have fun!
Daniel

[fly87 10]

Hallöchen,

 

in fast allen Fällen klappt... Aber bei den genannten ändert sich das lokale Kennwort, also des gespeicherten Profiles nach der Kennwortänderung ebenfalls nicht.

 

Sprich für die Serverzugriffe (Online) ist es geändert. Lokal allerdings nicht.

Mann muss sich immer noch mit dem alten Kennwort anmelden.

[Daniel -MSFT- 129]

Dann meldest Du Dich aber lokal mit einem lokalen Konto und nicht mit dem Domänenkonto an, richtig? Das sind dann zwei verschiedene Konten, auch wenn sie gleich heissen. In etwa so, als wenn Du bei Amazon und Outlook.com jeweils ein Konto einrichtest mit Deiner E-Mailadresse. Da erwartest Du ja auch nicht, dass das Passwort bei Amazon geändert wird, wenn Du es bei Outlook.com änderst ;-)

 

Warum melden sich die Anwender lokal nicht mit ihrem Domänenkonto an?

 

Have fun!
Daniel

[fly87 10]

Hallöchen,

 

das ist ein Trugschluss. Die User melden sich mit ihrem Domänenaccount an...

Wenn jedoch das Netz nicht verfügbar ist, wie es meistens vor der VPN Anmeldung der Fall ist, wird ja zwischengespeicherte Lokale Profil ran gezogen...

 

Mit diesem Profil ist der User angemeldet.

 

Wenn er dann hingeht und die Anmeldung am VPN vornimmt und hier aufgefordert wird, das Kennwort zu ändern, dann ändert sich dieses leider nicht für das Zwischengespeicherte Profil...

 

Nicht bei allen... Und ich suche nach dem Grund.

[Daniel -MSFT- 129]

Ihr könntet das Setup so umstellen, dass nicht der VPN-Client das Kennwort ändert, sondern nachdem die VPN-Verbindung steht, das Kennwort mit der Windows-nativen Funktion am Client geändert wird. Das aktualisiert auch die Cached Credentials am Client.

 

Oder die Anwender Sperren kurz den Rechner und entsperren ihn mit dem neuen Kennwort. Windows 8 weist zum Beispiel darauf hin, wenn die Cached Credentials nicht mit dem Netzwerkkennwort mehr übereinstimmen.

bearbeitet 19. Februar 2014 von Daniel -MSFT-