AD и просроченный пароль пользователя

[dalex]

Добрый день, коллеги. Мучает меня одна мелочь, не могу найти где крутить.

Есть домен 2k3/Active Directory. Если у пользователя просрочен пароль (например был в отпуске), то система первый раз его молча пускает, но сетевые ресурсы уже под этим паролем не прокатывают. Если перезагрузиться, то винда говорит что пароль устарел и предлагает сменить его. Надо сделать так, что бы при просроченном пароле система сразу предлагала сменить.

Штудировал политики - не нашёл на эту тему ничего. М.б. плохо смотрел?

 

[evn]

Политика Kerberos
Принудительные ограничения входа пользователей.
Эта политика позволяет определить, должен ли центр распределения ключей Kerberos проверять каждый запрос билета сеанса на соответствие политике прав, действующей для учетных записей пользователей.

попробуй. сам с таким не сталкивался.

 

[SciFi]

Добрый день, коллеги. Мучает меня одна мелочь, не могу найти где крутить.

Есть домен 2k3/Active Directory. Если у пользователя просрочен пароль (например был в отпуске), то система первый раз его молча пускает, но сетевые ресурсы уже под этим паролем не прокатывают. Если перезагрузиться, то винда говорит что пароль устарел и предлагает сменить его. Надо сделать так, что бы при просроченном пароле система сразу предлагала сменить.

Штудировал политики - не нашёл на эту тему ничего. М.б. плохо смотрел?

помоему у вас что то с сетевыми настройками, он не должен пускать при просроченном пароле.

ipconfig с доменного контроллера и клиента - выложите.

 

[evn]

это не с настройками сети связано. это контроллер домена...или гпо, либо еще что.

 

[!Chip]

Фаза луны

 

[dalex]

попробуй. сам с таким не сталкивался.

Включен...

Фаза луны

Слишком часто для луны.

ipconfig с доменного контроллера и клиента - выложите.

Что он даст?

 

[SciFi]

Сообщение от SciFi
ipconfig с доменного контроллера и клиента - выложите.
Что он даст?

у меня впечетеление что клиент по какой то причине не обращается к ДК, именно поэтому и возможна загрузка под старым паролем.

 

[dalex]

у меня впечетеление что клиент по какой то причине не обращается к ДК, именно поэтому и возможна загрузка под старым паролем.

А что даст ipconfig?

 

[evn]

SciFi,)
по твоим предположениям..комп не в ад....и ифконфиг опять ни при чем..
все же че то с тикетами...

 

[!Chip]

Надо смотреть что вылазит в логах АД когда авторизируется юзер с просроченым паролем это первое, второе попробывать вывести и ввести комп в АД, в любом случае смотреть логи.

 

[SciFi]

SciFi,)
по твоим предположениям..комп не в ад....и ифконфиг опять ни при чем..
все же че то с тикетами...

не знаю как там и что. Могу только предположить. Именно для того что бы ответить без гадания - и спросил конкретику.

Комп может быть в домене, но там может быть много чего...

 

[SerXio]

Трабл в том что локальный комп кэширует логин/пароль.
Помнится что в политике безопасности домена где то надо запретить это дело.
Где точно не помню - сам я давно не админ. Но проблема не редкая.

 

[SciFi]

Трабл в том что локальный комп кэширует логин/пароль.
Помнится что в политике безопасности домена где то надо запретить это дело.
Где точно не помню - сам я давно не админ. Но проблема не редкая.

прежде всего рабочая станция лезет на DC а уж потом если не находит на него - обращается к последним 10 сеансам залогиненых пользователей.

 

[Yujen]

SciFi,)
по твоим предположениям..комп не в ад....и ифконфиг опять ни при чем..
все же че то с тикетами...

по любому ifconfig не причем, т.к. для винды это не извесная команда ))))

то система первый раз его молча пускает, но сетевые ресурсы уже под этим паролем не прокатывают. Если перезагрузиться, то винда говорит что пароль устарел и предлагает сменить его. Надо сделать так, что бы при просроченном пароле система сразу предлагала сменить.

поставь галочки
Требовать смену пароля и что жизнь пароля ограничена

 

[SciFi]

по любому ifconfig не причем, т.к. для винды это не извесная команда ))))

evn просто опечатку допустил.

поставь галочки
Требовать смену пароля и что жизнь пароля ограничена

насколько понимаю у него стоят галочки. Если бы не стояли - то с чего бы не пускала система пользователя.

Жаль что так и не увидим ipconfig. Можно и в личку. Траблы с ДНС - значительная часть проблем у админов.

 

[!Chip]

Траблы с ДНС - значительная часть проблем у админов.

Я бы сказал что жесткая привязка АД к глючному виндовому ДНС создаёт большое количество проблем.

 

[Mangoost]

Скорей всего дело в физическом подключении компа к сети. Винда пускает по кешу пароля только в том случае, если нет физического подключения к сети, типа патчкорд выпал. Если подключение есть, то проверка пароля через контроллер домена идет, если контроллер не доступен то винда не пустит даже если пользователь-пароль верны. У вас авторизация на портах коммутатора включена? Очень похоже что порты долго включаются и пользователь успевает залогиниться.

 

[Yujen]

evn просто опечатку допустил.

а вдруг )))))))))

насколько понимаю у него стоят галочки. Если бы не стояли - то с чего бы не пускала система пользователя.

когда эти галочки не столи, я такой эффект как у ТС наблюдал

Траблы с ДНС - значительная часть проблем у админов.

днс вещь коварная
у меня из-за упавшего днса, люди после отпуска, могли залогиниться только если сначало кабель седевой от компа отключить, ввести пароль, а потом подоткнуть, смена пароля в АД приводила к тому что юзер вообще потом залогиниться никак не мог

Я бы сказал что жесткая привязка АД к глючному виндовому ДНС создаёт большое количество проблем.

я бы тоже так сказал

 

[dalex]

если контроллер не доступен то винда не пустит даже если пользователь-пароль верны

Пустит, проверял.

У вас авторизация на портах коммутатора включена?

Все свитчи неуправляемые.

По остальным предположениям посмотрю завтра.

SciFi, я так и не понял что именно ты хочешь там увидеть? Там информации то ноль целых, хрен десятых.

По поводу недоступности сервера - он не единственный контроллер этого домена, думаю клиент в случае недоступности переключился бы на второй и просто вход в сеть происходил бы на несколько секунд дольше.

Yujen, если не обшибаюсь, то включено. Но завтра посмотрю, а то ты на меня сомнения нагнал

 

[Demon™]

Посмотри системные логи. Был такой косяк, что сетевое соединение активируется уже после попытки логина компа в домен. Решение - обновить дрова сетевой.