Windows Server 2008 Desabilitando os requisitos de complexidade de senha

Question

Estou usando um controlador de domínio Server 2008 R2, tentando solucionar um bug em que os requisitos de complexidade de senha parecem estar habilitados, mesmo que estejam desabilitados na diretiva de grupo. Algumas notas:

• Estou alterando a política de senha no nível do domínio
• Eu não defini a idade da senha, defini o requisito de tamanho como um número baixo e desativei os requisitos de complexidade, mas ainda preciso enviar uma senha complexa
• As configurações da secpol local são as mesmas, embora eu não ache que devam ser levadas em conta
• Eu executei o gpupdate com a opção / force e reiniciei o sistema
• O RSOP diz que o requisito de complexidade deve ser desativado.

Não tenho certeza se meu GPO não está sendo aplicado (embora o RSOP diga que é) ou se há outra configuração ativada (todas as minhas pesquisas não indicam uma).

Qualquer ajuda seria apreciada.

Editar: Outra coisa estranha: inicializei no Modo de Restauração do Active Directory para tentar alterar a senha da conta do administrador local, e também há um requisito de complexidade nessas contas locais! A execução do secpol.msc do ADRS mostra que a complexidade não deve ser necessária, portanto, não acho que seja um problema do Active Directory ou realmente uma política do WIndows Security Policy. Talvez algo tenha sido corrompido? Infelizmente, não parece que haja uma maneira fácil de ver exatamente o que o SAM (ou o LSASS) está procurando para determinar se senhas complexas são necessárias. Não faz nenhum sentido.

    

Answer 1

Verifique se você possui um filtro de senha personalizado instalado.

Key: HKLM\System\CurrentControlSet\Control\LSA  
Value: Notification Packages  

Normalmente, quando um filtro de senha personalizado não está instalado, ele terá: scecli rassfm

Instalando e registrando uma DLL de filtro de senha
link

    

Answer 2

Diretivas de conta baseadas em domínio são aplicadas a partir do GPO de Domínio Padrão. Se você os estiver configurando em outro GPO, esse GPO deverá estar vinculado no nível do domínio e deverá ter uma precedência mais alta do que a diretiva de domínio padrão.

Como as Políticas de conta são configurações do computador, elas afetam o banco de dados de contas de segurança local nas máquinas afetadas pelas configurações, que em um domínio é o banco de dados do AD em cada controlador de domínio. Portanto, quando você fizer alterações nas suas Diretivas de Conta baseadas no Domínio, precisará atualizar a Diretiva de Grupo nos seus controladores de domínio antes de ver o efeito deles sobre os usuários do Domínio.