Kennwortrichtlinien

[Morph 10]

Hallo Leute

 

Habe zurzeit ein kleines Problem.

 

Hab eine Testumgebung mit VirtualPC aufgebaut. 2 Server und 1 Client. Bin gerade dabei, die Gruppenrichtlinien etwas genauer unter die Lupe zu nehmen. Dabei habe ich folgendes Problem:

 

Habe im AD eine neue OU "Arbeitsstationen" erstellt, welche alle PCs der Testumgebung enthalten, vorläufig halt nur eine WS :D .

 

Auf diese OU habe ich eine Gruppenrichtlinie gesetzt, welche mir verbietet, beim Wechsel des Kennworts wieder dasselbe zu nehmen, minimale Länge des Passwortes 6 Zeichen, Mindestalter Passwort 0 Tage, Maximalalter des Passworts 30 Tage. Soweit, so gut.

 

Melde ich mich nun als User an der WS an, wird die Richtlinie übernommen und angewendet. Ändere ich jetzt das Passwort, kann ich zwar wegen den Richtlinien nicht mehr dasselbe verwenden, jedoch dard das Passwort kürzer als 6 Zeichen sein. Mit der Richtlinie sollte dies nicht möglich sein.

 

Die Richtlinie überschreibt ja die lokalen Sicherheitsrichtlinien. Melde ich mich aber lokal am System der WS an, ändere die Sicherheitsruchtlinien, melde mich erneut als lokaler User anfunktionierts tadellos.

 

Warum wird die minimale Passwortlänge auf Domänenebene nicht übernommen?

 

Any ideas?

[brwic 10]

du must die richtlinie in der default domain policy einstellen sonst wird deine richtlinie durch die vererbung wieder zunichte gemacht. es gibt zwar ein loopbackup den du einstellen kanst aber kennwortrichtlinien sollten fuer alle gelten nicht nur fuer bestimmte kreise.

gute hilfe findest du unter http://www.gruppenrichtlinien.de

[mover 10]

Hallo Morph,

 

 

brwic hats ja schon angedeutet. Hier ein Zitat aus http://www.gruppenrichtlinie.de:

Eine weitere Sonderstellung innerhalb der möglichen Einstellung nehmen die Kennwortrichtlinien ein. Jede Domäne hat genau eine Kontorichtlinie (i.d.R. Default Domain Policy). Die Einstellungen der Domänenrichtlinie gelten für die Domäne und damit für alle Domänenkonten. Es nicht möglich für die Nutzer in verschiedenen OUs unterschiedliche Kennwortrichtlinien (z.B.: Länge und Gültigkeit des Passwortes) einzustellen. Dieses ist nur pro Domäne möglich. Die Einstellung innerhalb einer OU wird nur von den Computerobjekten der OU übernommen (nicht von der Domäne) und wirken sich damit nur auf die jeweiligen lokalen Benutzerkonten aus.

 

Dem füge ich noch hinzu: In einer Domäne gibt es genau EINE Kontorichtlinie.

Ergo: Willst Du eine oder mehrere Kontorichtlinie, brauchst Du eine oder mehrere Domänen. :)

 

Gruss

mover

[Morph 10]

hab die richtlinie auch schon in die default domain policy gesetzt, hat leider nix gebracht...

 

wenn ich mich als user anmelde, sollte ich das passwort zwar ändern können, aber mit mindestlänge. schau ich in der verwaltung und führe als Admin auf der Arbeitsstation die "lokale Sicherheitseinstellungen" aus, sind da ja unter anderem die "effektive Einstellungen" unter Kontorichtlinien --> Kennwortrichtlinien zu sehen. sind dies die Richtlinien, welche in der default domain policy gesetzt wurden?

 

@brwic

 

danke für den Link, werd mich da mal erkundigen.

[mover 10]

Moment mal,

 

zu Deinem 1. Beitrag:

Wenn sich ein User (auch Admin) lokal an einer Workstation anmeldet, gelten natürlich keine für die Domäne erstellten Gruppenrichtlinien.

 

zu Deinem 2. Beitrag:

... und führe als Admin auf der Arbeitsstation die "lokale Sicherheitseinstellungen" aus

Wie "führst" Du die denn aus ?

Was steht denn unter "effektive Einstellung"?

Und bist Du dabei lokal oder an der Domäne angemeldet?

 

Gruss

mover

[Morph 10]

zu 1.

 

ist mir jetzt im nachhinein auch klar geworden ;)

 

zu 2.

 

Ich meld mich als "User" an, öffne die Verwaltung in der Systemsteuerung, klicke lokale Sicherheitseinstellungen mit der rechten Maustaste an und wähle "ausführen als" und geb da den Admin der Domäne ein.

 

Unter "effektive Einstellung" steht folgendes:

Kennwortchronik erzwingen = 1 Gespeicherte Kennwörter

Komplexitätsanforderungen = Deaktiviert

umkehrbare Verschlüsselung = Deaktiviert

Maximales Alter = 42 Tage

Minimale Kennwortlänge = 0 Zeichen

Minimales Kennwortalter = 0 Tage

 

Obwohl ich die Default Domain Policy ändere, tut sich da nichts... Und auch auf dem DC ist die Datei Gpttmpl.inf im SYSVOL-Verzeichnis mit den oben genannten Werten gespeichert, obwohl ich die Default Domain Policy abgeändert habe...

[Morph 10]

bin doch ein depp :D hab den "fehler" gefunden.

 

hab anstelle von default domain policy fälschlicherweise die default domain controller policy geändert. :rolleyes:

 

da kann i ja noch lange warten, bis sich was tut...

 

danke für eure bemühungen!