Применить групповую политику пароля, отдельную от Доменной политики По умолчанию?
Я пытаюсь содержать в чистоте свою Доменную политику По умолчанию и стандарт, и я хочу сделать GPO для своих политик паролей.
Я сделал его, но это все еще получает политики от объекта Доменной политики По умолчанию.
Я предполагаю, что это получает тот, потому что это - самое строгое, но я наслаждался бы тем, что я могу сделать копию Доменной политики По умолчанию, отредактировать ту и затем применить сначала это и если что-то не применять/изменять/и т.д., примените значение по умолчанию в Доменной политике По умолчанию.
Действительно ли это возможно?
Я пробовал делать в прошлом безуспешно. Для работы политики паролей должны применяться в политике домена по умолчанию.
Ваша политика паролей может быть в созданной вами групповой политике. Нет ничего особенного в «политике домена по умолчанию», созданной для вас.
Политика, которую вы должны применять в корневом каталоге для достижения наилучших результатов. Будучи связан напрямую или унаследован от корня, и не быть заблокированным. Политики паролей - это компьютерные политики , которые применяются компьютером с базой данных паролей. В случае вашего активного каталога это ваши контроллеры домена.
Вполне вероятно, что у вас уже есть настройки политики паролей в существующих политиках (они установлены по умолчанию), поэтому будет важно убедиться, что порядок ссылок для этого новая политика - это любая другая политика, хотя вам, вероятно, следует удалить настройки пароля из любых других политик, чтобы избежать путаницы.
Если вы посмотрите на результаты групповой политики для одного из контроллеров домена, вы должны увидеть, какая политика и параметры применяются и от какого объекта политики, если у вас возникнут проблемы.
Отдельная политика паролей
Порядок ссылки на политику
Результаты политики.
Всегда применяются политики паролей, установленные в политике домена по умолчанию сверх любой другой политики паролей, если вы не используете FGPP где-то в дальнейшем.
это нормально, если он находится в корне домена, там, где он должен быть.
Если вы хотите применить отдельный пароль то вам необходимо установить для всех параметров пароля в политике по умолчанию значение «Не задано», а затем создать новый объект групповой политики (или использовать другой уже существующий), чтобы применить параметры пароля на том же или другом уровне.
Создайте настройки пароля, определенные в Центре администрирования Active Directory> Выберите свой домен> Выберите контейнер системы> Выберите контейнер настроек пароля> Выберите «Новый»> Выберите настройки пароля.
Здесь вы можете применить политики, основанные на отдельных группах или пользователях, отличных от политики домена.
Используйте приоритет для управления несколькими политиками, которые могут применяться к одной и той же группе пользователей.
Я надеюсь, что это поможет.
-Justin
Сначала обо всем по порядку. Политика паролей актуальна только для органов, меняющих пароли. В домене AD это контроллер домена, которому принадлежит роль FSMO эмулятора PDC. Как следствие, в среде по умолчанию есть только два места, где теоретически можно применить политику паролей:
- Домен (корневой)
- Подразделение «Контроллеры домена» (непосредственно под корневым доменом)
Таким образом, если вы применяете политику паролей к OU, которая где-то не содержит эмулятора PDC, она может и не будет иметь никакого эффекта. Вы увидите настройки на клиенте при просмотре с помощью secpol.msc, но они бессмысленны. Учитываются только те параметры, которые применяются к эмулятору PDC.
Теперь есть кое-что особенное в политиках паролей. Они предназначены для применения ко всему домену. Поэтому MS не поддерживает политики паролей, применяемые к OU «Контроллеры домена».Таким образом, ваша единственная оставшаяся игровая площадка — это домен. Там вы действительно можете иметь собственный объект групповой политики, который содержит политики паролей. Чтобы победить политику домена по умолчанию или другие объекты групповой политики, содержащие политики паролей, у вас есть две возможности:
- Принудительно применить свой собственный объект групповой политики (при условии, что это будет первый принудительный объект групповой политики на уровне домена)
- Переместить свой собственный объект групповой политики выше всех остальных Объекты групповой политики (содержащие политики паролей и предполагающие, что они не применяются), касающиеся порядка ссылок. Это означает, что дайте ему меньшее число. Объекты групповой политики применяются в обратном порядке, поэтому объект групповой политики с номером порядка ссылок 1 будет применяться последним и, таким образом, выиграет.