Überprüfung ob Kennwort vorhanden

[banco74 10]

Hallo,

 

habe gehört es soll ein tool geben, mit dem ich überprüfen kann, ob der ein Benutzer in ADS ein Kennwort vergeben hat. Kann mir jemand sagen, wo ich dieses Ding herkriege?

 

Hintergrund ist der, dass ich noch viele Benutzer habe, die noch kein Kennwort vergeben haben. Diese möchte ich jetzt zwingen eines zu vergeben.

 

Danke im voraus.

[##mur 10]

Hallo,

 

am einfachsten wird es sein, wenn du bei allen Benutzern im AD die Optionen vergibst, dass sie das Kennwort bei der nächsten Anmeldung ändern müssen. Zu 100% werden die Benutzer sich dann telefonisch bei dir melden und nachfragen, was jetzt gemacht werden soll. Somit kannst du die Benutzer notieren und entsprechend am Telefon aufklären.

 

Das Tool was du ansprichst kenne ich leider nicht.

 

cu

 

Maik

[Dr.Melzer 191]

Wenn es so ein Tool geben würde, könnten wir dir nicht weiterhelfen, da wir nicht mit Sicherheit sagen können, ob du es nich dazu benutzt Userkonten zu missbrauchen, die ohne Kennwortschutz sind.

 

Der Tipp von ##murr scheint mir auch am praktikabelsten.

[##mur 10]

Hallo ich bins nochmal,

 

generell bin ich aus Sicherheitsgründen der Meinung, dass alle Benutzer in regelmäßigen Zeitabständen ihre Kennwörter ändern sollten. Die kann man standartisiert in den GPO´s des AD´s einrichten, so dass dies automatisch alle x Tage stattfindet. Die Benutzer werden zwar gewaltig motzen aber du bist nun mal für die Sicherheit verantwortlich.

 

cu

 

Maik

[IvkovicD 10]

hallo Banco,

 

ich gebe ##mur und Dr.Melzer recht, dass so ein tool sicherheitstechnisch bedenklich wäre, es müsste ja "reinschauen" können, ob ein benutzer sein passwort gesetzt hat.

 

aber du kannst evtl über einen anderen weg dein ziel erreichen, ohne "gefährlich" für die passörter zu werden.

 

die tools, die du suchts, sind die DS-tools aus dem resourcekit für windows 2003 (falls du kein windows 2003 fährst, macht nichts, du benötigst SP3 auf deinen 2000, dann geht es auch - darunter is net)

 

unter den tools gibt es ein programm, dass sich "dsquery" nennt. es kann (nein keine passwörter!) diverse einstellungen aus der DS anzeigen (auch scriptbar).

 

ein bestimmtes attribut (stalepassword) zeigt an, ob ein benutzer sein passwort für X tage nicht gewechselt hat. X kann max. 999 tage sein.

 

idee: dsquery mit 999 tagen, und schauen, ob es benutzer anzeigt, die aus diesem scope rausfallen, weil sie das password noch nie gewechselt haben?!?!

 

ich weiss jetzt nicht, was rauskommt, wenn du das query über deine AD laufen läßt, die benutzer enthält, die noch nie ihr passwort gewechselt haben (wir haben keine solchen benutzer, alle wechseln die passys regelmäßig (zwang)), es wäre zumindest ein ansatz, rauszufinden, ob über diese option das system irgendwas rauswirft, was verwertbar ist.

 

gruß

 

dejan

[banco74 10]

Hallo,

 

danke für die schnellen Antworten. Bin mir bewußt das es sich hier um ein sicherheitsempfindliches Thema handelt. Hilft aber nix, muss es trotzdem machen.

 

Der Tip mit dem dsquery hat mir auch schon super geholfen. Alle die seit einem Jahr ihr Kennwort nicht mehr geändert haben, haben entweder keins oder haben es mal wieder nötig es zu ändern.

 

Danke nochmals.