posso redefinir o relógio em uma senha expirada no AD?

Question

Eu tenho um cliente cujos usuários acessam a solução por meio do RDP e estão todos configurados para 'a senha nunca expira' no AD.

Estamos impondo uma política de expiração de senha e introduzindo um gerenciador de credenciais de autoatendimento para permitir que os usuários alterem suas senhas no caso de expirarem.

No entanto, notei que, assim que desmarco a opção "a senha nunca expira" para um usuário, esse usuário fica imediatamente impossibilitado de fazer login. Se eu tentar a conta localmente, sou avisado que a senha expirou. Se eu entrar no AD e mudar a senha, a conta pode entrar novamente.

Se eu tivesse que adivinhar, diria que o Windows provavelmente está reconhecendo que minha senha atual é maior que X dias ou algo assim.

Vale a pena mencionar também que a opção 'conta expira' ainda está definida como 'Nunca', mas tentei ajustar isso para o futuro e isso não fez diferença.

O que eu realmente quero fazer é desacelerar o relógio para que quando eu desmarcar a opção 'senha nunca expira', os usuários tenham um curto período de tempo ... talvez 7 dias ou mais para atualizar sua senha antes que expirar e eles não conseguem fazer login, mas durante o qual eles podem manter e usar a senha existente.

Qualquer ajuda é appriciated:)

    

Answer 1

O atributo

pwdLastSet é usado para calcular a idade da senha.

O valor é protegido e o único valor que você pode definir é 0 ou -1 .

O valor que você procura é -1 , o sistema colocará o pwdLastSet na data / hora atual. Assim, os 90 dias, ou qualquer período de tempo definido, recomeçarão desde o início.

0 faria o oposto, expiraria a senha agora mesmo.

Você o define como 0, manualmente ou com um script, você o configura como -1 e desmarca a opção Nunca expirar depois da conta.

Exemplo, antes;

Apósoconjuntopara0e-1;