Como posso permitir que os usuários alterem suas senhas ao efetuar login via RDP?

Question

Estou executando um servidor Windows Server 2012 R2 que administradores e usuários podem acessar via Conexão de Área de Trabalho Remota. Eu configurei os usuários e a Política de Segurança Local para que, no primeiro login de cada usuário, e a cada 90 dias a partir de então, eles sejam solicitados a alterar sua senha.

No entanto, sempre que a conta do usuário estiver em um estado em que a senha deve ser redefinida, assim que tentar se conectar usando o RDP, receberá a seguinte mensagem de erro do cliente da Conexão da Área de Trabalho Remota (v10.0):

You must change your password before logging on the first time. Please update your password or contact your system administrator or technical support.

Ao usar o cliente do Gerenciador de Conexão de Área de Trabalho Remota (v2.7), o mesmo acontece, embora o erro seja um pouco diferente:

The user password must be changed before logging on for the first time

O servidor é independente, não em um domínio. A autenticação no nível da rede é necessária para ser ativada devido aos requisitos de conformidade de segurança. O servidor não tem acesso ao console, pois é uma máquina virtual em nuvem.

Não consegui encontrar nenhuma solução alternativa para isso, sem comprometer a configuração de segurança do NLA. Eu perdi algo óbvio? Quaisquer respostas ou comentários seriam recebidos com gratidão. Obrigado.

    

Answer 1

Não pode ser feito através do próprio RDP! (sem desabilitar o NLA)

In the protocol specification for CredSSP, there is no reference to the ability to change the user's password while NLA is running. Therefore, the observed behavior can be considered "by design."

CredSSP is the underlying technology that enables NLA, and it does not support password changes. Therefore, password changes are not enabled in MSTSC. Other RD clients that support NLA should be unable to change the user’s password.

Origem: link

Como eles sugerem, habilitar a alteração da senha via RDWeb é uma opção. Outra opção que tenho visto é mudar a senha via webmail do Exchange.