Default Domain Policy - Einstellung maximales Kennwortalter zieht nicht

[daabm 1.366]

MaxPWLen per DDP ist durch das dämliche UI von secedit limitiert... Das ist ne Implementierung aus W2K Zeiten, die nie aktualisiert wurde. Schon alleine der Kram mit sceregvl.inf und den zugehörigen Registry-Werten kann einem schlaflose Nächte bescheren. Wie kamen die damals auf dieses hirnrissige Konstrukt?

[Marco31 33]

Und wie bekomme ich meine Passwörter nun grösser 14 Zeichen? ?

[NorbertFe 2.061]

Man benutzt die richtige GPMC. ;)

https://www.grouppolicy.biz/2018/05/group-policy-updated-to-support-20-character-minimum-password-length/

 

[Marco31 33]

Ähem... ich habe die Einstellungen auf einem win10 1903 Rechner gemacht... die Templates sind auch alle aktuell. Oder habe ich da was falsch verstanden?

[NorbertFe 2.061]

Kann ich dir nicht sagen. Ich kann problemlos auf meinem DC 2019 in der Default Domain Policy eine 20 dort eintragen und bestätigen. Hab jetzt grad keine GPMC auf einem Windows 10 1903 zur Verfügung.

 

Bye

Norbert

[Marco31 33]

Eintragen und bestätigen konnte ich diese ja auch, nur angewendet wurden sie nicht. Da waren ja dann die SceCLi 1202 Fehler... Werde das nächste Woche mal weiter testen, vielleicht funktioniert es ja jetzt nachdem ich (wie oben in dem Artikel beschrieben) alle Einträge mal geändert und gespeichert habe...

[NorbertFe 2.061]

Hmm ok, wir haben zufälligerweise 14 Zeichen in unserer DDP konfiguriert. Für alle weiteren Tests bräuchte ich Zeit.

[Marco31 33]

Ich werde das Mitte nächster Woche testen können, ich gebe dann mal Rückmeldung. Kannst ja auch mal Rückmeldung geben wenn du das in deiner Umgebung testen konntest. 

[NilsK 2.957]

Moin,

 

vor 16 Stunden schrieb daabm:

Wie kamen die damals auf dieses hirnrissige Konstrukt?

es musste schnell gehen, wie so vieles damals. Wenn man mal vergleicht: Mit Windows 2000 kam eine Unmenge an Neuerungen, sowas gab es danach in der Anzahl danach nicht mehr. Qualität hat man sich dann für später aufgespart, bei sehr vielen Komponenten aber nicht mehr umgesetzt. Neben dem GPO-Kram ist die unglaublich verkorkste Steuerung der PKI ein Beispiel.

 

Gruß, Nils

 

[NorbertFe 2.061]

Naja aber der GPO Kram im Allgemeinen ist schon gar nicht so schlecht geraten. Dass die GPMC erst 3 Jahre später den Durchbruch besorgte spricht halt für deine Aussage. Leider hats so eine Verbesserung für die PKI dann nie gegeben und auch viele andere Komponenten wie IAS/NPS und DHCP zeugen davon. Damals muss es wohl noch einen gewissen "Druck" gegeben haben, Features umzusetzen, den es zunehmend weniger zu geben scheint, wenn man sich das Feature Set mal so anschaut. ;)

 

Bye

Norbert

[Marco31 33]

Damals waren es ja zumindest noch Features,  das was heute als "Feature" verkauft wird braucht man eigentlich nicht.

[NorbertFe 2.061]

Ja umso schlimmer, dass die damaligen Features weiterhin so lieblos dahin vegetieren bzw. Wieder ausgebaut oder angekündigt werden. ;)

[NilsK 2.957]

Moin,

 

bei ADFS hat man sich auch an die Regel gehalten: Mach es unbrauchbar, aber mach es.

 

Gruß, Nils

... wir schweifen ab ...

[NorbertFe 2.061]

vor 36 Minuten schrieb NilsK:

wir schweifen ab ...

Das macht doch nix. ;)

[Marco31 33]

Die GPO Geschichte finde ich schon nen großen Wurf, die Idee zumindest. Da möchte ich gar nicht dran denken ohne auskommen zu müssen ?

bearbeitet 13. September 2019 von Marco31