登录
Microsoft.com
 
Microsoft
 
 
 

none
AD账号多元密码策略问题 RRS feed

 > 

  • 问题

  • Question
    登录进行投票
    0
    登录进行投票

    HI

         我们默认的密码是半年有效期，针对一些系统账号，额外设置了多元密码策略有效期1年，针对这些系统账号我测试用命令net user xxxx 查显示的密码到期时间还是半年，但是实际上这个多元密码策略有生效，这个账号到了net user命令查出来的密码到期时间还是能正常用的，这样子就产生一个问题，我们怎么知道这个账号实际密码到期的时间，这个信息我看adsi编辑器也没有记录。 烦请帮忙解答下

    2023年1月13日 2:58
    |

答案

  • Question
    登录进行投票
    0
    登录进行投票
    尊敬的客户，您好！

    感谢您在我们的TechNet论坛发帖。

    您可以使用下面的命令检查用户密码过期时间 （把t2替换为指定的域用户账号）。
    Get-ADUser -Identity t2 -Properties msDS-UserPasswordExpiryTimeComputed
    然后再把得到的msDS-UserPasswordExpiryTimeComputed转换为我们可以看得懂的时间。

    使用如下这个命令就可以转换时间[datetime]::FromFileTime(134004098794598210)


    Net User t2 /domain | find "Password expires"  （这个您提到已经尝试过了）。


    Get-ADUser -Identity t2 -Properties pwdLastSet这个命令检查上次密码设置的时间，并且按照上面的命令转换一下时间的格式，应该也可以知道过期时间。



    顺便问一下，您是这个设置“    针对一些系统账号，额外设置了多元密码策略有效期1年”的呢？因为一个域只有一个密码策略生效，那就是“默认的域策略”里编辑的密码策略。如果您需要特例给用户账号或者用户组设置非域密码策略，那么一般就是设置FGPP。

    而且如果同一个账号即应用了域密码策略，还应用了FGPP，那么FGPP是优先的。

    如需了解更过有关FGPP，您可以查看以下的连接。

    Step-by-Step: Enabling and Using Fine-Grained Password Policies in AD

    https://blogs.technet.microsoft.com/canitpro/2013/05/29/step-by-step-enabling-and-using-fine-grained-password-policies-in-ad/

    希望上述的回复对您有帮助。如有任何问题，欢迎您随时咨询我们。

    此致,
    Daisy Zhou

    如果以上回复对您有所帮助，建议您将其标记为答复。如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnmff@microsoft.com.

    Please remember to mark the replies as answers if they help.
    If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

    • 已标记为答案 Hogan-S 2023年1月17日 7:41
    2023年1月13日 8:34
    |
    版主

全部回复

  • Question
    登录进行投票
    0
    登录进行投票
    尊敬的客户，您好！

    感谢您在我们的TechNet论坛发帖。

    您可以使用下面的命令检查用户密码过期时间 （把t2替换为指定的域用户账号）。
    Get-ADUser -Identity t2 -Properties msDS-UserPasswordExpiryTimeComputed
    然后再把得到的msDS-UserPasswordExpiryTimeComputed转换为我们可以看得懂的时间。

    使用如下这个命令就可以转换时间[datetime]::FromFileTime(134004098794598210)


    Net User t2 /domain | find "Password expires"  （这个您提到已经尝试过了）。


    Get-ADUser -Identity t2 -Properties pwdLastSet这个命令检查上次密码设置的时间，并且按照上面的命令转换一下时间的格式，应该也可以知道过期时间。



    顺便问一下，您是这个设置“    针对一些系统账号，额外设置了多元密码策略有效期1年”的呢？因为一个域只有一个密码策略生效，那就是“默认的域策略”里编辑的密码策略。如果您需要特例给用户账号或者用户组设置非域密码策略，那么一般就是设置FGPP。

    而且如果同一个账号即应用了域密码策略，还应用了FGPP，那么FGPP是优先的。

    如需了解更过有关FGPP，您可以查看以下的连接。

    Step-by-Step: Enabling and Using Fine-Grained Password Policies in AD

    https://blogs.technet.microsoft.com/canitpro/2013/05/29/step-by-step-enabling-and-using-fine-grained-password-policies-in-ad/

    希望上述的回复对您有帮助。如有任何问题，欢迎您随时咨询我们。

    此致,
    Daisy Zhou

    如果以上回复对您有所帮助，建议您将其标记为答复。如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnmff@microsoft.com.

    Please remember to mark the replies as answers if they help.
    If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

    • 已标记为答案 Hogan-S 2023年1月17日 7:41
    2023年1月13日 8:34
    |
    版主
  • Question
    登录进行投票
    0
    登录进行投票

    感谢答复， Get-ADUser -Identity t2 -Properties msDS-UserPasswordExpiryTimeComputed 这个测试是ok的，谢谢

    是的 是用的FGPP去应用域密码策略，前面就是因为用了FGPP 导致net user查到的过期时间有问题

    2023年1月13日 9:08
    |
  • Question
    登录进行投票
    0
    登录进行投票
    尊敬的客户，您好！

    感谢您的回复。

    请问对于这个帖子您还有什么问题需要帮助的吗？

    备注：很抱歉，我这边从明天开始休假了，如果您的问题还没有解决的话，并且您不是非常着急的话，那么我们可以年后来继续沟通并处理您的问题。很抱歉给您带来的不便。

    只要我今天有空的话，我也会尽量回复您的。


    此致，
    Daisy Zhou


    如果我的回答是有帮助的，请将其标记为答复，可以帮助其他社区成员快速找到有用的答复，谢谢！

    Please remember to mark the replies as answers if they help.
    If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

    2023年1月16日 2:00
    |
    版主