Howdie!
Am 17.08.2011 17:24, schrieb -Dirk-:
> Ursprünglich ist es eine Kopie der Default Domän Policy, ergänzt um
> einige Punkte und mit den Standorten verknüpft. Warum soll das nicht
> funktionieren?
Naja, das ist die Funktionalität, die Windows nutzt, um die
Passwortrichtlinie zu erstellen - Fine-Grained Password Policies jetzt
mal aussen vor gelassen.
Windows wird die Richtlinien auf Domänenebene verlinkt evaluieren und
die "gewinnende" Richtlinie mit den Passwortrichtlinien nutzen und die
gewinnenden Einstellungen auf das NC-Head Objekt schreiben. Das ist der
Auszug:
> LDP-Auszug:
>
> 1> forceLogoff: 0 (none);
> 1> lockoutDuration: -9223372036854775808 (none);
> 1> lockOutObservationWindow: 3600;
> 1> lockoutThreshold: 5;
> 1> maxPwdAge: 7776000;
> 1> minPwdAge: 432000;
> 1> minPwdLength: 5;
Die 432000 sind fünf Tage in Sekunden, das passt. Meine Darstellung in
LDP ist einfach anders.
> Hab mir alle GPO's, die auf den clinet wirken, nochmals durchgesehen -
> nirgendwo ist es diese Richtlinie definiert, außer in der Default Domain
> Policy auf Standortebene.
Das kann variieren. Wenn du auf einer OU Passworteinstellungen
verteilst, wirst du diese auf dem Client (RSOP) sehen. Entscheidend sind
die Richtlinien auf Domäneneebene verlinkt.
Wenn es bei euch schon so jahrelang funktioniert wundert mich das.
Eventuell sind die GPOs mehrfach verlinkt. Für Domänenbenutzerkonten,
die sich an der Domäne anmelden, sind definitiv die Passwortrichtlinien
interessant, die auf der Domänenebene verlinkt sind (und in LDP auf dem
NC Head sichtbar sind). Wenn du dich mit SERVERNAME\meinLokalerBenutzer
lokal an einer Maschine anmeldest, sieht es anders aus.
Sieh dir doch mal bitte die GPOs auf Domänenebene an und vergleiche, was
da angezeigt wird. Das sollte sich mit den Einstellungen da (LDP)
überschneiden.
Cheers,
Florian
The views and opinions expressed in my postings do NOT necessarily correlate with the ones of my friends, family or my employer. If anyone should be allowed to mark a response as an "answer", it should be the thread creator. No one else.
