Применить групповую политику паролей отдельно от политики домена по умолчанию?
Я стараюсь, чтобы моя политика домена по умолчанию была чистой и стандартной, и я хочу создать объект групповой политики для моих политик паролей.
Я сделал это, но он все еще получает политики от объекта политики домена по умолчанию.
Я предполагаю, что он получит его, потому что он является наиболее ограничительным, но мне бы хотелось, чтобы я мог сделать копию Политики домена по умолчанию, отредактировать ее, а затем сначала применить ее, а если что-то не применено / изменено / и т. Д., применить значение по умолчанию в Политике домена по умолчанию.
Является ли это возможным?
4 ответа
Ваша политика паролей может быть в созданной вами групповой политике. Нет ничего особенного в "политике домена по умолчанию", которая создана для вас.
Политика, которую вы должны применять в корне для достижения наилучших результатов. Будучи связанными там напрямую или унаследованными от корня, а не блокироваться. Политики паролей являются политикой компьютера и применяются компьютером с базой данных паролей. В случае вашего активного каталога это ваши контроллеры домена.
Вполне вероятно, что у вас уже есть параметры политики паролей в существующих политиках (они устанавливаются по умолчанию). Поэтому важно убедиться, что порядок ссылок этой новой политики соответствует любой другой политике, хотя вам, вероятно, следует удалить параметры пароля из любые другие политики для предотвращения путаницы.
Если вы посмотрите на результаты групповой политики для одного из ваших контроллеров домена, то увидите, какие политики и параметры применяются и из какого объекта политики, если у вас возникнут проблемы.
Отдельная политика паролей
Порядок ссылки на политику
Результаты политики.
Создайте параметры пароля, определенные в Центре администрирования Active Directory> Выберите свой домен> Выберите контейнер системы> Выберите контейнер настроек пароля> Выберите "Новый" > Выберите параметры пароля.
Здесь вы можете применять политики, основанные на отдельных группах или пользователях, которые отличаются от политики домена.
Используйте приоритет для управления несколькими политиками, которые могут применяться к одной и той же группе пользователей.
Надеюсь, это поможет.
-Джастин
Перво-наперво. Политика паролей актуальна только для органов, которые меняют пароли. В домене AD это контроллер домена, которому принадлежит роль FSMO эмулятора PDC. Как следствие, в среде по умолчанию есть только два места, где вы можете теоретически применить политику паролей:
- Домен (корень)
- Подразделение "Контроллеры домена" (непосредственно под корнем домена)
Поэтому, если вы примените политику паролей к подразделению, которое где-то не содержит эмулятора PDC, это может и не будет иметь никакого эффекта. Вы увидите настройки на клиенте, хотя при просмотре с
secpol.msc, но они бессмысленны. Учитываются только настройки, применимые к эмулятору PDC.
Теперь в политиках паролей есть кое-что особенное. Они предназначены для применения ко всему домену. Поэтому MS не поддерживает политики паролей, которые применяются к подразделению "Контроллеры домена". Итак, ваша единственная оставшаяся площадка - это домен. Там у вас действительно может быть собственный объект групповой политики, содержащий политики паролей. Чтобы победить политику домена по умолчанию или другие объекты групповой политики, содержащие политики паролей, у вас есть две возможности:
- Обеспечьте соблюдение своего настраиваемого объекта групповой политики (при условии, что это будет первый принудительный объект групповой политики на уровне домена)
- Переместите свой настраиваемый объект групповой политики над всеми другими объектами групповой политики (содержащими политики паролей и предполагающими, что они не применяются) относительно порядка связывания. Это означает, что укажите меньшее число. Объекты групповой политики применяются в обратном порядке, поэтому объект групповой политики с порядковым номером 1 будет применяться последним и, следовательно, победит.
Политики паролей, установленные в Политике домена по умолчанию, всегда применяются сверх любой другой политики паролей, если только вы не используете FGPP где-нибудь в будущем.
хорошо иметь его в корне домена, вот где он должен быть.
Если вы хотите применить отдельную политику паролей, вам нужно установить для всех параметров пароля в Политике по умолчанию значение "Не установлено", а затем создать новый объект групповой политики (или использовать другой ранее существующий), чтобы применить настройки пароля в то же время. или другой уровень.
Я пытался обойтись в прошлом безуспешно. Политики паролей должны применяться в Политике домена по умолчанию для работы.