6
Kennwortänderung greift erst nach der Anmeldung mit altem Passwort
Hallo,
folgendes:
Seit dem Umstieg auf die Domänencontroller mit Server 2008 haben wir ein Problem mit der Kennwortänderung.
Standardgemäß müssen alle Benutzer nach 90 Tagen ihr Kennwort ändern. Das hat nach den ersten 90 Tagen auch super funktioniert. Aber beim zweiten mal - egal ob nach 90 Tagen, oder forciert durch die Benutzereinstellungen im AD - bekommt der Benutzer zum Ablaufzeitpunkt keine Rückmeldung beim Anmeldevorgang, dass das Kennwort geändert werden muss.
Allerdings bekommt er dann keine Netzlaufwerke gemappt, und auch der Zugriff auf das Exchange-Postfach funktioniert nicht. Es gibt immer eine Rückmeldung, dass die Anmeldeinformationen nicht stimmen.
Wenn sich der Benutzer nun ab- und wieder anmeldet kommt die Meldung, dass sein Passwort abgelaufen ist und er es ändern muss.
Also scheint der Client erst nach der Anmeldung mit dem alten Passwort zu verstehen, dass es ja eigentlich schon abgelaufen ist.
Das ist alles ziemlich ärgerlich. Habe keine Einstellung (z.B. GPO) gefunden, die das Phänomen erklären würde.
Hat jemand eine Idee?
- 2008er Domäne mit Active Directory.
- Clients mit Win XP SP2/SP3
Gruß
Tuffli
folgendes:
Seit dem Umstieg auf die Domänencontroller mit Server 2008 haben wir ein Problem mit der Kennwortänderung.
Standardgemäß müssen alle Benutzer nach 90 Tagen ihr Kennwort ändern. Das hat nach den ersten 90 Tagen auch super funktioniert. Aber beim zweiten mal - egal ob nach 90 Tagen, oder forciert durch die Benutzereinstellungen im AD - bekommt der Benutzer zum Ablaufzeitpunkt keine Rückmeldung beim Anmeldevorgang, dass das Kennwort geändert werden muss.
Allerdings bekommt er dann keine Netzlaufwerke gemappt, und auch der Zugriff auf das Exchange-Postfach funktioniert nicht. Es gibt immer eine Rückmeldung, dass die Anmeldeinformationen nicht stimmen.
Wenn sich der Benutzer nun ab- und wieder anmeldet kommt die Meldung, dass sein Passwort abgelaufen ist und er es ändern muss.
Also scheint der Client erst nach der Anmeldung mit dem alten Passwort zu verstehen, dass es ja eigentlich schon abgelaufen ist.
Das ist alles ziemlich ärgerlich. Habe keine Einstellung (z.B. GPO) gefunden, die das Phänomen erklären würde.
Hat jemand eine Idee?
- 2008er Domäne mit Active Directory.
- Clients mit Win XP SP2/SP3
Gruß
Tuffli
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 154667
Url: https://administrator.de/contentid/154667
Ausgedruckt am: 22.11.2024 um 16:11 Uhr
6 Kommentare
Neuester Kommentar
Ich gehe davon aus das der TTL (TimeToLive o.ä.) recht lange ist.
Habe hier zwar eine ganz andere Umgebung, jedoch kann man sich hier auch an seinem Benutzerkonto (in der Domöne) anmelden, auch wenn keine Lan-Verbindung besteht. 30 Tage lang.
Den TTL-Faktor würde ich auf eine Stunde o.ä. setzten, dann sollte es klappen.
So meine Theorie ......
Try it!
Habe hier zwar eine ganz andere Umgebung, jedoch kann man sich hier auch an seinem Benutzerkonto (in der Domöne) anmelden, auch wenn keine Lan-Verbindung besteht. 30 Tage lang.
Den TTL-Faktor würde ich auf eine Stunde o.ä. setzten, dann sollte es klappen.
So meine Theorie ......
Try it!
Bitte um Rückmeldung, ob das funktioniert hat.
Danke
Danke
Moin,
ich entnehme Deiner Schilderung, daß ihr bis zum letzten Tag wartet, bis die Passworte geändert werden. Noralerweise kommt doch schon vorher (14 Tage?) eine Mitteilung, daß das Passwort in x Tagen abläuft und man wird gefragt, ob das Passwort jetzt geändert werden soll. Mit dieser Einstellung solltet ihr dann keine Probleme haben.
Ich hab vor längerer Zeit schon einmal ein ähnliches Problem gehabt (wie lange ist ein Tag bei Microsoft?). Dabei kommt es augenscheinlich darauf an, wann das Passwort zuletzt geändert wurde, und zwar zeitgenau. Wurde das Passwort um 08:22 Uhr letzmalig geändert, so kann sich der User am Abaluftag um 07:00 Uhr noch korrekt anmelden, um 08:30 Uhr ist das Passwort jedoch bereits abgelaufen. Evtl. ist das bei Dir ja auch so.
Gruß J chem
ich entnehme Deiner Schilderung, daß ihr bis zum letzten Tag wartet, bis die Passworte geändert werden. Noralerweise kommt doch schon vorher (14 Tage?) eine Mitteilung, daß das Passwort in x Tagen abläuft und man wird gefragt, ob das Passwort jetzt geändert werden soll. Mit dieser Einstellung solltet ihr dann keine Probleme haben.
Ich hab vor längerer Zeit schon einmal ein ähnliches Problem gehabt (wie lange ist ein Tag bei Microsoft?). Dabei kommt es augenscheinlich darauf an, wann das Passwort zuletzt geändert wurde, und zwar zeitgenau. Wurde das Passwort um 08:22 Uhr letzmalig geändert, so kann sich der User am Abaluftag um 07:00 Uhr noch korrekt anmelden, um 08:30 Uhr ist das Passwort jedoch bereits abgelaufen. Evtl. ist das bei Dir ja auch so.
Gruß J
chem
Genau so ist es bei mir auch...
Moment, Moment, Moment...
erstmal danke für die Antworten.
TTL bei Benutzeranmeldung? Das einzige, was mir dazu einfällt ist das Ticket vom Kerberos... Ansonsten kenn ich kein TTL. Wo müsste ich das denn einstellen? GPO?
@Jochem: Erst als ich deinen Post gelesen habe ist mir klar geworden, dass die Meldung seit dem Umstieg auf Server 2008 auch nicht mehr erscheint. Ist das Einstellungssache?
Gruß
Tuffli
erstmal danke für die Antworten.
TTL bei Benutzeranmeldung? Das einzige, was mir dazu einfällt ist das Ticket vom Kerberos... Ansonsten kenn ich kein TTL. Wo müsste ich das denn einstellen? GPO?
@Jochem: Erst als ich deinen Post gelesen habe ist mir klar geworden, dass die Meldung seit dem Umstieg auf Server 2008 auch nicht mehr erscheint. Ist das Einstellungssache?
Gruß
Tuffli
Habs gerade gefunden.
Ist eine GPO ("Interaktive Anmeldung: Anwender vor Ablauf des Kennworts zum Ändern des Kennworts aufforden")
War tatsächlich deaktiviert. Vlt. Behebt das ja schon die ganze Problematik.
Gruß
Tuffli
Ist eine GPO ("Interaktive Anmeldung: Anwender vor Ablauf des Kennworts zum Ändern des Kennworts aufforden")
War tatsächlich deaktiviert. Vlt. Behebt das ja schon die ganze Problematik.
Gruß
Tuffli
