AD-User passwordlastset auslesen und vergleichen

[speer 19]

Hallo zusammen,

sehe gerade den Wald vor lauter Bäumen nicht. Warum vergleicht die Powershell das Datum nicht?

[datetime]$heute = 25.02.2018 23:23:23
Get-ADUser -properties passwordlastset,samaccountname | Where-Object {$_.passwordlastset -le $heute } 

[massaraksch 41]

Hi,

 

immer schrittweise vorgehen: Teste die Befehle einzeln in der Shell... Bringen die dir keine Fehler?

 

Also:

 

[datetime]$heute = 25.02.2018 23:23:23

Was passiert?

 

Get-ADUser -properties passwordlastset,samaccountname

Was passiert?

Tipps:

 

Ich würde so machen:

$heute = get-date(25.02.2018 23:23:23)

 

Und bei get-aduser fehlt dir der Filter:

get-aduser -filter * ...

 

PS: Wieso ist heute eigentlich der 25.02.2018... Hab ich etwa Winterschlaf gehalten? :cool:

bearbeitet 28. Dezember 2017 von massaraksch

[NilsK 2.978]

Moin,

 

vermutlich erhält dein Kommando den Wert nicht in einem Format, das die PowerShell als Datum erkennt. Datumsfelder im AD sind so eine Sache für sich.

 

Aber mal richtigrum gefragt: Was willst du denn am Ende erreichen?

 

Gruß, Nils

[tesso 377]

Meine Powershell streikt schon bei der Zuweisung der Variablen.

[BOfH_666 583]

$heute = Get-Date

noch einfacher geht's kaum, oder?   ;)  :cool:  :thumb1:

 

Eigentlich isses sogar eher:

$jetzt = Get-Date

Für nur das Datum müsste's eher heißen:

$heute = (Get-Date).Date

bearbeitet 28. Dezember 2017 von BOfH_666

[speer 19]

Hallo zusammen,

es ist schon etwas mehr Code drin. Das Beispiel oben soll nur das zentrale Element veranschaulichen. Für mein obiges Beispiel muss mittels ParseExact in den richtigen Datentyp konvertiert werden.

 

Mein Ziel war es, genau 10 Tage vor Ablauf des Passworts den entsprechenden Mitarbeitern eine E-Mail zu senden. Wir haben viele externe Konstrukteure die alle mittels RD arbeiten. Sobald das Passwort abgelaufen ist, können diese sich nicht anmelden.

 

Damit dies überhaupt sinnvoll funktioniert braucht es noch das maximale Passwort Alter. Muss erst schauen in welchem Attribut sich das Versteckt :)

[MrCocktail 199]

Hi,

 

und warum nicht auf eine der fertigen Lösungen zurückgreifen?

Siehe zum Beispiel hier:

https://gallery.technet.microsoft.com/scriptcenter/Password-Expiry-Email-177c3e27

 

Haben wir abgewandelt im Einsatz.

 

Gruß

J

[zahni 566]

Wir haben immer Kixtart  (und teilweise Powershell):

$dayleft=@maxpwage-@pwage
If $dayleft>-1 and $dayleft<=10
	messagebox("Ihr Passwort läuft in $dayleft Tag(en) ab.@CRLFDrücken Sie STRG-ALT-ENTF und wählen Sie@CRLFdie Option 'Kennwort ändern'.","Passwort-Warnung",4160,0)
ENDIF

[NilsK 2.978]

Moin,

 

ergänzend könnte man jetzt noch darüber philosophieren, dass ein erzwungener regelmäßiger Kennwortwechsel die Sicherheit effektiv senkt und nicht erhöht ... aber zum Kernthema des Threads ist wohl alles Nötige gesagt worden.

 

Gruß, Nils

bearbeitet 29. Dezember 2017 von NilsK

[zahni 566]

Wenn die Konzernsicherheit Vorgaben macht...

[BOfH_666 583]

Wenn die Konzernsicherheit Vorgaben macht...

... prima Gelegenheit, das mal wieder erneut zu überdenken und vielleicht mit der Konzernsicherheit zu diskutieren. Die Welt dreht sich ja permanent weiter - vielleicht sollte das die Konzernsicherheit auch.

[zahni 566]

Wenn Du wüsstest...Hättest Du keine Lust dazu.

[BOfH_666 583]

Hmmm ... eigentlich weiß ich ja ...  das ist aber kein Grund aufzugeben ...  ;)  :cool:  :thumb1:

[MurdocX 965]

Moin,

 

ergänzend könnte man jetzt noch darüber philosophieren, dass ein erzwungener regelmäßiger Kennwortwechsel die Sicherheit effektiv senkt und nicht erhöht ... aber zum Kernthema des Threads ist wohl alles Nötige gesagt worden.

 

Gruß, Nils

 

Weißt du ab welcher Regelmäßigkeit die Sicherheit reduziert wird? 30 Tage, 90 Tage oder 1x pro Jahr?

[speer 19]

Hallo zusammen,

Skript ist fertig und tut was geplant war :)

Falls es die Zeit zuläßt schreibe ich meine Skripte selbst. Bin nicht der PS Crack und froh darüber mal etwas anderes zu machen als nur RD-Server administrieren :)

 

Wegen der Passwortsicherheit, wir verwenden für externe Konstrukteure eine 3-faktor und für interne eine 2-Faktor Authentifizierung. Der Passwortwechsel ist 2x im Jahr vorgeschrieben. Unsere IT muß alle Punkte zum Thema "Security" mit dem internen und externen Datenschutzbeauftragten und zudem einer externen IT-Security Firma abklären. Wie zäh manche Prozesse sind, kann sich jeder selbst denken. :D

bearbeitet 30. Dezember 2017 von speer