Wie widerrufe ich die Berechtigung zum Ändern des Kennworts nur für Benutzer in bestimmten Organisationseinheiten?

Question 1

Die Antworten von John Rennie und Sam Cogan (wie John so treffend feststellt) sind insofern „Hacks“, als sie versuchen, die Benutzeroberfläche zum Ändern von Passwörtern zu deaktivieren, dem Benutzer jedoch nicht tatsächlich die Möglichkeit nehmen, sein Passwort zu ändern.

Ich denke, Sie möchten die Berechtigungen ändern, die Active Directory standardmäßig für die Organisationseinheit festlegt, in der sich die Benutzerkonten befinden. Ich möchte Sie davor warnen. Da Microsoft diese Funktionalität bereits über ein Attribut für die Benutzerkontoobjekte bereitstellt, ist es wirklich besser, dieses bereits bereitgestellte Attribut zu verwenden, als die AD-Berechtigungen zu ändern. Es ist wahrscheinlich, dass Sie eine Berechtigung finden, die funktioniert, und es ist genauso wahrscheinlich, dass das Betriebssystem keine hilfreichen Meldungen anzeigt.

Sie sollten wirklich einfach alle betroffenen Benutzer mit Active Directory-Benutzern und -Computern auswählen und die Eigenschaften der Benutzerkonten en masse ändern. Darts Antwort ist funktional dieselbe wie die Auswahl aller Benutzerkonten und die grafische Festlegung ihres „Benutzer kann Kennwort nicht ändern“. Wenn Ihnen die Befehlszeile besser gefällt, tun Sie das.

Es gibt eine Funktion, dies mit einem „Erweiterten Recht“ unter Verwendung von Active Directory-Berechtigungen in Windows 2003 zu tun. Ich finde keine gute Dokumentation zu dieser Funktion. Hier einige Hintergrundinformationen zu den „Erweiterten Rechten“ im Zusammenhang mit dem Ändern von Passwörtern, wobei sich die ersten auf den „Anwendungsmodus“ von Active Directory beziehen (oder wie auch immer Microsoft ihn diese Woche nennt):

Ich habe versucht, Massimos Antwort zu überprüfen, indem ich einer OU in meinem Test-Active Directory W2K3 (Domänenfunktionsebene Windows 2003) die Berechtigung „SELF – Deny – Benutzerobjekte – Erweitertes Recht: Kennwort ändern“ zugewiesen habe. Dabei habe ich festgestellt, dass die Benutzerobjekte auf oder unter dieser OU ihre Kennwörter mithilfe der GUI-Kennwortänderungsfunktion weiterhin ändern konnten. Beim Betrachten jedes Benutzerobjekts konnte ich die übernommene Berechtigung „Deny“ sehen, aber Active Directory schien sie zu ignorieren.

Durch das Entfernen der Berechtigung „SELF – Zulassen – Kennwort ändern“ für ein Benutzerobjekt erhielt ich die gleiche Funktionalität wie im obigen Test. Der Benutzer durfte sein Kennwort weiterhin ändern.

Auf dieser Grundlage würde ich sagen, dass Massimos Antwort auch nicht das bewirkt, was Sie wollen.

ich fandDieser Artikelvon Microsoft und habe es getestet. Wenn ich das Skript auf ein einzelnes Benutzerobjekt ausrichte, verhält es sich wie gewünscht undDer Benutzer kann sein Passwort nicht ändern. Dies hilft Ihnen allerdings nicht viel, da Sie dies für jede Organisationseinheit einzeln festlegen möchten.

Wenn ich das Skript von Microsoft jedoch auf eine OU ausrichte, ist das Verhalten länger wie erwartet. (Wenn ich außerdem die der OU hinzugefügten ACEs ändere, damit sie auf „Dieses Objekt und untergeordnete Objekte“ angewendet werden, anstatt auf „Nur dieses Objekt“, wie vom Skript gewährt, ist das VerhaltenTrotzdemist nicht wie erwartet.)

Ich renne hier wirklich gegen die Wand. Das sieht nach einer Eigenart des Active Directory-Verhaltens aus, die nicht gut dokumentiert ist. Ich habe die„Active Directory-Domänendienste“UndActive Directory-SchemaDokumentation und ich finde keine Dokumentation, die dieses Verhalten beschreibt.

Answer