Em um dos domínios filhos do meu cliente, ele tem o problema de que vários usuários (aleatórios) não podem alterar sua senha devido a "complexidade blá blá". Isto não é verdade, quando:
a) Um administrador é redefinido para uma nova senha ou
b) o usuário tinha o sinalizador "deve redefinir a senha no logon"
O que eu tentei até agora:
-
GPOs:
Há apenas a política de domínio padrão com configurações de senha. As configurações são:
- Comprimento de 10
- Complexidade ativada
- o histórico está definido como 5, mas irrelevante neste caso (tentou senhas diferentes)
- Todo o resto é indefinido ou 0
-
Provedor de senhas no PDC: Li que você pode usar provedores de senha personalizados por meio do registro. Eu verifiquei com um domínio onde tudo funciona. Parece padrão. A única coisa que vi foi a configuração EveryoneIncludesAnonymous = 0 .
-
O usuário ainda não conseguiu mudar o seu PW depois que eu criei um PSO para ele, com a configuração que deve funcionar. Parecia que eles não foram aplicados.
-
O PDC está disponível
-
Set-ADAccountPassword em um controlador de domínio também não funcionou.
-
O descritor de segurança da conta do usuário parece bastante ok. Todos têm o direito de alterar a senha.
-
No ADUC, as propriedades do usuário estão ok. O usuário não pode alterar a senha = $ false, etc.
Saída de net user /domain Myuser
User name cardm004
Full Name Cardman, Michael
Comment Test User
User's comment
Country/region code 000 (System Default)
Account active Yes
Account expires Never
Password last set 16.01.2017 13:14:58
Password expires Never
Password changeable 15.02.2017 13:14:58
Password required Yes
User may change password Yes
Workstations allowed All
Logon script login.cmd
User profile
Home directory
Last logon 18.01.2017 08:14:01
Logon hours allowed All
Local Group Memberships
Global Group memberships *Domain Users
The command completed successfully.
Saída de net accounts
Force user logoff how long after time expires?: Never
Minimum password age (days): 0
Maximum password age (days): 37201
Minimum password length: 10
Length of password history maintained: 5
Lockout threshold: Never
Lockout duration (minutes): 30
Lockout observation window (minutes): 30
Computer role: Workstation
Estou sem ideias agora. O que eu poderia tentar descobrir por que os usuários não podem alterar suas senhas?
Atualizar
Descobri que a modelagem de políticas de grupo mostra diferentes configurações para diferentes usuários. A parte "configurações de senha" e "política de bloqueio de conta" não são mostradas para os usuários que não podem alterar suas senhas. Então eu suponho que pode haver um problema de replicação nos controladores de domínio. Eu verifiquei o replicationstatus com repadmin /showrepl e os resultados foram ok. Eu verifiquei o conteúdo do arquivo em sysvol em todos os 3 controladores de domínio e eles são idênticos. Então, de alguma forma, os controladores de domínio estão atualizados, mas os computadores não obtêm a configuração.
GPUpdate /force e GPResult /r ou GPResult /h file.html parecem bons e não mostram erros. A reinicialização após GPUpdate /force não alterou o erro.
GPResult /r mostra o site correto e exibe uma conexão rápida, Default Domain Policy (onde as configurações são feitas) é exibido conforme aplicado.
Atualização 2
Eu criei um GPO adicional para definir as configurações de senha. Para isso, criei uma unidade organizacional, para a qual movi o computador e a conta de usuário e vinculei esse GPO com enforced = $true a essa unidade organizacional. GPResult /h mostra a configuração correta aplicada, Net user /domain testuser não. As configurações da política local são idênticas ao GPO.
O problema ainda ocorre.
Atualização 3
O cliente abriu um ingresso na microsoft. Eles ainda não têm uma solução, mas descobriram que parece haver um problema com o GP: o usuário e seu dispositivo foram movidos para uma unidade organizacional separada para testes com a herança desativada. Eles aplicaram um novo GPO a ele com várias configurações de senha. GPResult mostrou as configurações atualizadas, mas o usuário ainda não conseguiu alterar sua senha.
Em seguida, eles removeram o GP-link e ativaram a herança novamente, as configurações do GPO de teste permaneceram no sistema. As configurações de Política de Domínio Padrão não foram aplicadas (eram menores do que no GPO de teste) e o usuário ainda não pôde alterar sua senha.
Vou mantê-lo atualizado, talvez um de vocês se depara com esse problema um dia ou encontre uma solução antes que a Microsoft o faça.