Active Directory.pdf - Gattner

Konfigurieren der Domänensicherheit mit Gruppenrichtlinien 521
Hinweis Geben Sie beim Erstellen von PSOs mittels ADSI Edit die Werte für msDS-Maximum-
PasswordAge, msDS-MinimumPasswordAge, msDS-LockoutObservationWindow und msDS-Lockout-
Duration im Format T:HH:MM:SS ein.
6. Ändern Sie Eigenschaften durch Klicken auf die Schaltfläche Weitere Attribute.
Grundlegendes zum resultierenden PSO für einen Benutzer
Ein Benutzer oder eine Sicherheitsgruppe kann mit mehr als einem PSO verknüpft sein. Dies kann der
Fall sein, wenn ein Benutzer Mitglied mehrerer Sicherheitsgruppen ist, denen jeweils ein PSO zugewiesen
ist, oder wenn einem Benutzerobjekt mehrere PSOs direkt zugewiesen wurden. In jedem Fall
ist es wichtig zu wissen, dass nur ein einziges PSO als effektive Kennwortrichtlinie angewendet werden
kann.
Erinnern Sie sich daran, dass in Tabelle 13.6 ein PSO-Attribut mit Namen msDS-PasswordSettingsPrecedence
aufgeführt wird. Wenn mehrere PSOs einem Benutzer oder einer Gruppe zugewiesen
wurden, hilft dieses Attribut beim Bestimmen des resultierenden PSOs. Ein PSO mit niedrigerem
Wert hat Vorrang vor einem PSO mit einem höheren Wert.
Wenn mehrere PSOs mit einem Benutzer oder einer Gruppe verknüpft sind, wird das resultierende
PSO auf die folgende Weise bestimmt:
1. Jedes direkt mit einem Benutzerobjekt verknüpfte PSO ist das resultierende PSO. Sind mehrere
PSOs direkt mit dem Benutzerobjekt verknüpft, wird das PSO mit dem niedrigsten Wert fürmsDS-
PasswordSettingsPrecedence das resultierende PSO.
2. Sind keine PSOs direkt mit dem Benutzer verknüpft, werden die PSOs für alle globalen Sicherheitsgruppen
verglichen, die den Benutzer enthalten. Das PSO mit dem niedrigsten Wert für
msDS-PasswordSettingsPrecedence wird das resultierende PSO.
Hinweis Werden nach Schritt 1 und 2 weiterhin mehrere PSOs mit identischem Wert für msDS-PasswordSettingsPrecedence
ermittelt, wird das PSO mit der kleinsten global eindeutigen Kennung (Globally
Unique Identifier, GUID) angewendet.
3. Sind keine PSOs direkt oder indirekt (durch Gruppenmitgliedschaft) mit dem Benutzer verknüpft,
finden die Einstellungen der Standarddomänenrichtlinie (GPO Default Domain Policy) Anwendung.
Alle Benutzerobjekte enthalten ein neues Attribut mit Namen msDS-ResultantPSO. Mithilfe dieses
Attributs kann der definierte Name des auf den Benutzer angewendeten PSOs bestimmt werden. Ist
kein PSO-Objekt mit dem Benutzer verknüpft, enthält dieses Attribut keinen Wert. In diesem Fall
wird die im GPO Default Domain Policy enthaltene Richtlinie zur effektiven Kennwortrichtlinie.
Sie können das Attibut msDS-ResultantPSO mithilfe einer der beiden folgenden Methoden anzeigen:
• Windows-Oberfläche Stellen Sie in der Konsole Active Directory-Benutzer und -Computer sicher,
dass im Menü Ansicht die Option Erweiterte Features aktiviert ist, und öffnen Sie die Eigenschaften
eines Benutzerkontos. Das Attribut msDS-ResultantPSO wird auf der Registerkarte
Attribut-Editor angezeigt. Möglicherweise müssen Sie im Filter die Option Schreibgeschützte
Attribute anzeigen\Erzeugt aktivieren.