Posso impedir que uma conta do Active Directory seja bloqueada?

Question

Existe uma configuração ADUC que pode impedir o bloqueio de determinadas contas de usuários, especialmente após um número x de tentativas de logon com falha? Ah, e nosso DC está no Server 2003 no momento, mas também usamos o Server 2008 DC em outros ambientes.

    

Answer 1

Você pode fazer isso, mas ainda precisa de um GPO. Crie um GPO que tenha as configurações necessárias e, em seguida, elimine a "política de grupo de aplicação" diretamente da ACL. Crie um grupo que você deseja eliminar dos bloqueios de senha, adicione seu (s) usuário (s) ao grupo e atribua a esse grupo a "política de grupo de candidatos" para o seu GPO.

Lembre-se de que os GPOs são aplicados na seguinte ordem:

Local Local Domínio OU

Certifique-se de aplicar o novo GPO no nível correto para que ele não seja afetado por algo abaixo dele.

    

Answer 2

Não posso deixar de me perguntar por que você simplesmente não permite senhas em branco para essas contas. É quase o mesmo (falta de um) nível de segurança que permite tentativas ilimitadas. Como alternativa, você pode aplicar um GPO separado às contas que permitem o número máximo de tentativas de senha (qualquer que seja esse número) ou simplesmente definir um período de bloqueio o mais curto possível para que a conta seja desbloqueada com rapidez suficiente realmente note.

É claro que a solução ideal seria fazer com que essas pessoas realmente se lembrassem de suas senhas, mas acredito que sejam gerentes seniores.

    

Answer 3

Uma abordagem preferencial seria sair dos DCs do Windows Server 2003 e configurar seu domínio para o nível funcional do Windows 2008, e você poderá aproveitar um dos novos recursos do Windows Server 2008: várias senhas e bloqueio de conta políticas.

Guia passo a passo da política de senha detalhada e de bloqueio de conta do AD DS
link

Como aumentar os níveis funcionais de floresta e domínio do Active Directory
link

    

Answer 4

Você deve perguntar isso em serverfault.com, embora uma resposta rápida seja link