Я пытаюсь изменить порог блокировки аккаунта для всех пользователей нашего домена. Порог должен быть три, но есть пользователи, которые блокируются после одной неправильно введенной ошибки в пароле, а другие могут попытаться шесть или семь раз, прежде чем их заблокируют.
У нас Windows Server 2008 R2, и все пользователи находятся в одном домене. В Group Policy Management я попытался следовать пути Group Policy [GPO]\Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy, но ни один из моих GPO (существующих или вновь созданных) не имеет параметра Account Policies в разделе Security Settings. Я развернул все различные пути в поисках этого, но мне это не удалось. Я также попытался сделать это из Server Manager с тем же результатом.
Я пробовал MMC.exe, и GPO, созданные в нем, имеют правильный путь, но GPO, созданные здесь, похоже, связаны только с компьютерами, а не с доменом в целом. Я настроил один на локальном компьютере (сервере), и, похоже, это повлияло на некоторых пользователей, но не на других.
Я подозреваю, что возможной причиной (или фактором) проблемы может быть отсутствующий файл SYSVOL для GPO блокировки учетной записи. Это GPO, который существовал до того, как я начал здесь работать, и был отключен кем-то, пытающимся исправить проблемы блокировки. Я не уверен, когда, почему или кем был удален/перемещен файл SYSVOL. Поскольку файл SYSVOL отсутствует, я просто получаю сообщение об ошибке, в котором говорится, что компьютер не может найти указанный путь, и у меня может не быть разрешений при попытке просмотреть этот GPO.
Я искал в интернете, что делать в этой ситуации, но пока ничего полезного не нашел. Буду признателен за любые решения или советы, так как я новичок в этом деле и идеи у меня быстро заканчиваются.
решение1
Это может быть связано с проблемой вашего FGPP по умолчанию.
ЧитатьЭта статья.
Вы можете увидеть, что FGPP применяется к определенному пользователю, проверив его msDS-ResultantPSO.
Вы можете использовать Powershell следующим образом:
Get-ADUser -LDAPFilter '(&(objectCategory=person)(objectClass=user)(SamAccountName=JohnG))' -Properties msDS-ResultantPSO
Вы можете исправить это, добавив пользователя (или группу, к которой принадлежит пользователь) в соответствующий PSO (как показано в статье, ссылка на которую приведена выше).
Кроме того, применение локального GPO, как правило, не является хорошей идеей.
Вам следует применить политику, специфичную для ваших DC.