Azure AD DS にドメイン ユーザーがいます。
一部のユーザーには、有効期限のないパスワードを設定する必要があります。
ドメイン内のマシンの「Active Directory ユーザーとコンピューター」に移動すると、「パスワードを無期限にする」オプションがグレー表示されています。
Office 365 にアクセスしてパスワードの有効期限ポリシーを確認すると、パスワードが期限切れにならないように構成されています。
マシンの 1 台の GPO を見ると、パスワードの有効期限が設定されていません。
同じマシンにアクセスし、PowerShell で Get-ADUser を実行すると、次の結果が得られます。
ただし、70 日後にはユーザーのパスワードは期限切れになります (Windows Server 内)。Office 365 へのサインインには使用できなくなります。
どなたか、この問題がどこで発生しているのか教えていただけませんか? 少し困惑しており、できるだけ早く修正する必要があります。
ありがとう！
編集 1: 私はグローバル管理者です。
答え1
必要になる場合がありますきめ細かなパスワードポリシーを作成する
まず、管理 VM がすでに作成されていることを確認します。
ドメインのパスワードポリシーを設定するには、「Active Directory管理センター」を開いてきめ細かなパスワードポリシーを作成するガイドはここにあります:
https://activedirectorypro.com/create-fine-grained-password-policies/
答え2
ただし、ユーザーが Azure AD アカウントを使用して O365 にログインしている場合は、Azure AD 側から調査を開始する必要があります。
ユーザーのパスワード検証がどこで行われているのかは不明です。
- パスワード ハッシュ同期を使用している場合: Azure AD の現在のパスワード ポリシーを確認します。https://docs.microsoft.com/en-us/microsoft-365/admin/add-users/set-password-to-never-expire?view=o365-worldwide
- ADFS/パススルー認証を使用している場合: ローカル ドメインのパスワード ポリシー、ADFS サーバー、またはパススルー認証エージェントを確認します。
これが関連しているとは到底思えませんが、AADDS の期限切れのパスワードは O365 には影響しないはずです。ただし、これにも取り組む価値はあります。https://docs.microsoft.com/en-us/azure/active-directory-domain-services/パスワードポリシー
答え3
AD と Azure AD の間でディレクトリ同期 (AD Connect) を使用していますか? これがここでの重要な質問です。
ユーザー アカウントが AD からのものである場合、パスワードの有効期限 (および一般的な認証) はオンプレミスの AD によって管理されます。一方、ユーザー アカウントが Azure AD ネイティブである場合は、すべてがそこから管理されます。
ADUC のユーザー アカウントのスクリーンショットを示していただいたので、ユーザー アカウントは AD に存在し、Azure AD に同期されているものと想定しています。この場合、ユーザー アカウントのプロパティ (パスワードの有効期限が切れないなど) を AD から設定するのが適切です。オンプレミスの AD がユーザー アカウント情報の主なソースであるため、Azure AD はこれに何の役割も果たしません。
さて、これらのオプションがグレー表示されているのはなぜでしょうか。これは確かに権限の問題のようです。Active Directory ユーザーとコンピューター (略して AUDC) は、誰でも (認証済み) AD データを見ることを許可しますが、操作の実行が許可されていない場合は、グレー表示されるか、まったく表示されません。
AD で編集できないオブジェクトが表示された場合、または編集しようとして「アクセスが拒否されました」というエラーが表示された場合は、その操作を行うための十分な権限がないことを意味します。
ドメイン管理者である場合 (UAC は非常に面倒なので、実際にそのように行動している場合)、編集できるはずです。何でもただし、これは依然として権限の問題です。ドメイン管理者は、その権限が自動的に「Domain Admins」グループに付与されるため、何でも編集できます。誰かが OU またはユーザー オブジェクト自体の権限を変更し、デフォルトの「Domain Admins はフル コントロールを持つ」アクセス権を削除した場合、そのオブジェクトに触れることがブロックされます。
結論: ユーザー オブジェクト (および/またはそれが配置されている OU) の権限を確認し、「ドメイン管理者」に完全な制御権があることを確認します。そうでない場合は、強制的に取得します。ドメイン管理者は、所有していないものの所有権を常に取得できます。