Kennworteinstellungen lokaler Benutzer

[Robinho1986 1]

Morgen zusammen,

 

Viele Rechner, welche sich noch nicht in unserer Domäne befinden, werden zur Zeit umgestellt. Übergangsweise arbeiten die Benutzer mit Ihren lokalen Konten weiter. Bisher liefen die Passwörter der lokalen Konten nicht ab, seitdem sich die Rechner in der Domäne befinden ist die Option „Kennwort läuft ab“ eingestellt. Leider finde ich nicht die entsprechende GPO mit welcher ich dem entgegen wirklen könnte.

 

PS: lokale Benutzer und Gruppen ist der richtige Weg nehme ich an?

 

Erledigt :)

 

Danke und Gruß

bearbeitet 14. Oktober 2015 von Robinho1986

[NorbertFe 2.098]

Nee wäre der falsche Weg. Der richtige Weg wäre "Kontorichtlinien" für die OU der PCs zu definieren.

[Robinho1986 1]

wieso ist das der falsche weg wenn ich auf allen Clients ein lokales Benutzerkonto aktualisieren möchte o0

 

auf 100 Clients gibt es den lokalen Benutzer XXXX (überall gleicher Name, gleiches Passwort), dessen Einstellungen möchte ich ändern.

bearbeitet 15. Oktober 2015 von Robinho1986

[NilsK 2.969]

Moin,

 

der Kennwortablauf richtet sich nach der Kennwortrichtlinie. Die wird für lokale Konten durch die Gruppenrichtlinien der Domäne gesteuert, sobald sich ein Rechner in der Domäne befindet.

 

Die Default Domain Policy gilt für alle Domänenkonten. Wenn man ein GPO mit einer eigenen Kennwortrichtlinie an eine OU bindet, in der Computerkonten gespeichert sind, dann gilt diese Richtlinie für die lokalen Konten auf diesen Rechnern.

 

Gruß, Nils

[Robinho1986 1]

Danke, ich möchte das Kennwortalter allerdings auf "unendlich" setzen. Mir ist nicht klar wie das per Kennwortrichtlinie realisiert werden kann. Maximales Kennwortalter lässt sich nicht auf "unendlich setzen". Habe per Lokale Benutzer und Gruppen auf diversen OUs eingestellt, dass das Kennwort für den lokalen Benutzer XXXX nicht ablaufen kann. Sry aber was ist an dieser Lösung so verwerflich?

 

Gruß

bearbeitet 15. Oktober 2015 von Robinho1986

[NilsK 2.969]

Moin,

 

verwerflich ist daran gar nichts. Du hast gefragt, wir haben dir den technisch vorgesehenen Weg genannt. Warum so aggressiv?

 

Natürlich kannst du für alle User einzeln das Flag "Kennwort läuft nie ab" setzen. Aber erstens ist das eben ein manueller Vorgang, den du ebenso manuell zurücksetzen müsstest, wenn sich der Bedarf ergibt. Zweitens bleibt diese Eigenschaft dann auch gesetzt und setzt für die betreffenden Konten den Kennwortablauf außer Kraft. Meist ist das nicht gewünscht.

 

Um den Kennwortablauf per Richtlinie zu vermeiden, setzt du dort die Zeitdauer auf 0. Wenn das später anders sein soll, kannst du es genau an der einen Stelle auch wieder auf einen anderen Wert setzen.

 

Gruß, Nils

[Robinho1986 1]

Sry, das sollte definitiv nicht agressiv wirken! Ich empfand es als schnellste vorrübergehende Lösung. Sobald die letzten User ein Domänenkonto besitzen, könnte ich per "Lokale Benutzer und Gruppen" das entsprechende Konto auf allen Clients entfernen. Das war mein gedachter Weg.

[lefg 276]

Moin,

 

läuft das Kennwort denn wirklich ab? Und falls ja, wo ist das Problem? In welchen Abständen läuft das Kennwort ab? Ist eine Änderung dem Benutzer nicht zuzumuten?

bearbeitet 15. Oktober 2015 von lefg

[Robinho1986 1]

nochmal zu den Gegebenheiten: Hier sind ca. 100 Rechner welche sich NICHT in der Domäne befinden. Alle Anwender arbeiten mit einem lokalen Benutzerkonto (Passwort/Name ist überall gleich). Aus zeitlichen Gründen werden die Rechner erstmal in die Domäne gehoben. Der Domänenbeitritt hat im Moment zur Folge, dass lokale Konten nun ablaufen. Dies möchte ich unterbinden bis JEDER Nutzer ein eigenes Domänenkonto zur Anmeldung nutzt. Aus diesem Grunde habe ich das lokale Konto BLUB per GPO aktualisiert und möchte dieses demnächst auch komplett entfernen. Für mich war klar, „lokale Benutzer und Gruppen“ wird mein Freund.

 

Über Sinn und Unsinn möchte ich nicht sprechen, Struktur ist leider so gewachsen und muss nun aufgeräumt werden :)

bearbeitet 15. Oktober 2015 von Robinho1986

[lefg 276]

So erscheint mir das  verständlich.

bearbeitet 15. Oktober 2015 von lefg

[NorbertFe 2.098]

Sry, das sollte definitiv nicht agressiv wirken! Ich empfand es als schnellste vorrübergehende Lösung. Sobald die letzten User ein Domänenkonto besitzen, könnte ich per "Lokale Benutzer und Gruppen" das entsprechende Konto auf allen Clients entfernen. Das war mein gedachter Weg.

Ich hab dir die technisch sinnvollste und genauso schnelle Lösung gesagt. Wenn du die nicht magst ist das doch nicht das Problem. ;)

[Robinho1986 1]

Dann belasse ich es erstmal bei meiner Lösung, vielen Dank für die weiteren Anregungen. Ich werde es im Hinterkopg behalten.

 

Gruß

[lefg 276]

Moin,

 

da die Computer inzwischen in der Domäne sind, besteht da denn noch ein zwingender Grund zum Benutzen eines lokalen Kontos und Profils?

 

Für einen möglcherweise ähnlich gelagerten Zweck habe ich ein Domänenkonto angelegt mit einem festen (manifest), Benutzerprofil, von den Benutzern und Anwendungen unveränderlich.

[NilsK 2.969]

Moin,

 

da die Computer inzwischen in der Domäne sind, besteht da denn noch ein zwingender Grund zum Benutzen eines lokalen Kontos und Profils?

 

naja, dazu hat er sich ja schon ausführlich geäußert. Es ist eine Übergangslösung. Da der Umstieg auf ein Domänenkonto sofort die Profilfrage stellt, kann ich das Vorgehen nachvollziehen.

 

 

 

Für einen möglcherweise ähnlich gelagerten Zweck habe ich ein Domänenkonto angelegt mit einem festen (manifest), Benutzerprofil, von den Benutzern und Anwendungen unveränderlich.

 

Uh, davon rate ich entschieden ab. Mandatory Profiles sind noch schlimmer als Roaming Profiles.

Abgesehen davon, löst das ja auch nicht das Problem, dass der User sich heute von seinem lokalen Konto abmeldet, um sich morgen mit seinem Domänenkonto anzumelden und seine Daten und Einstellungen nicht wiederzufinden.

 

Gruß, Nils

[lefg 276]

 

Uh, davon rate ich entschieden ab. Mandatory Profiles sind noch schlimmer als Roaming Profiles.

 

Nun werter Nils, es gibt Situationen, da können Roaming und Mandatory auch kombiniert durchaus angebracht sein. Eventuelle Nachteile müssen dann akzeptiert werden. Ich meine aber auch, für eine normale Büroumgebung ist das keine (Dauer)Lösung.

bearbeitet 15. Oktober 2015 von lefg