Passworteistellungen in GPO -

[genab.de 10]

müssen die Passworteinstellungen unbeding in der bereits vorhandenen Defaul Domain Policy auf Domänenebene angewendet werden

 

oder geht es auch wenn ich eine neue GPO erstelle und diese dann an 1. Stelle auf die ganze Domäne verlinke....

 

 

 

mir ist klar, das man dazu eigentlich die Default Domain Policy ändert, aber ich mach gerade ein komisches Szenario durch, wo ich das gar nicht zu auswahl hab....

[carlito 10]

oder geht es auch wenn ich eine neue GPO erstelle und diese dann an 1. Stelle auf die ganze Domäne verlinke....

 

Geht auch. Wichtig ist, das die Passworteinstellungen nur Wirkung haben, wenn sie auf Domänen-Ebene verknüpft werden.

[mcse_killer76 10]

So weit ich das noch weiß empfiehlt Microsoft sogar entsprechende Einstellungen in einer neuen GPO vorzunehmen und die Defaul Domain Policy im "Originalzustand" zu belassen

[genab.de 10]

also Hauptsache sie wird auf die Domain verlinks:

 

aber sie muss doch an 1. Stelle stehen oder? Hab da mal was getestet, und es ging glaube ich nicht, das war zu zeiten, als ich noch nicht wusste, das die Reihenfolge wichtig war.

 

Oder lag ich falsch. -> sprich es muss an 1. Stelle stehen, vor der Default Domain Policy

[mcse_killer76 10]

Grundsätzlich gilt: Abarbeitung von unten nach oben, Priorität von oben nach unten!

Aber: es werden nur die Einstellungen von einer "höheren" GPO überschrieben, die dort definiert werden.

Sprich: ist in der Default Domain Policy nichts bei den Passwortoptionen eingestellt kann die eigene ohne Probleme "weiter unten" stehen.

[carlito 10]

So weit ich das noch weiß empfiehlt Microsoft sogar entsprechende Einstellungen in einer neuen GPO vorzunehmen und die Defaul Domain Policy im "Originalzustand" zu belassen

 

Ja. Man kann die Default Domain Policy zwar zurücksetzen, muss sich das Leben aber nicht unnötig schwer machen.

[mcse_killer76 10]

Ja. Man kann die Default Domain Policy zwar zurücksetzen, muss sich das Leben aber nicht unnötig schwer machen.

 

Ich denke in diesem Fall vor allem an das Troubleshooting. Definiert man diese Einsellungen in einer separaten GPO, so kann man diese jederzeit zu Testzwecken deaktivieren...