iT邦幫忙

0

server如何下指令要求使用者更新密碼 ?

請問,在AD環境架構中,如何下指令達到下列目標,請大大指教 ?

1.要求網域內使用者在登入時即刻修改密碼,這個動作有分不強迫跟強迫 (一定要改,否則無法完成登入)嗎 ? 請問只什麼指令可以用呢 ? 這個有GPO可用嗎? 還是只能用指令

2.我在GPO設定上,將名為A的GPO連結到domain,修改密碼原則為 60有效、複雜度取消、最少3碼,完成設定與連結後,我要讓原則立即生效的話,要在DC那台下 gpupdate /force,如果要讓它自動生效,是否得等90-120分鐘呢 ? gpo生效速度是否有其他因素會影響到 ?

3.針對GPO原則設定,有分為 電腦設定 跟 使用者設定,不知道各位大大認為這兩種最大的差別是在哪呢 ? 這兩種設定內的項目會不會有重複的狀況(目前沒看到) ? 當然我知道電腦設定是針對電腦,使用者設定是針對使用者...

2 個回答

6
raytracy
iT邦大神 1 級 ‧ 2010-06-30 15:58:01
最佳解答
  1. 印象中沒有, 若記錯請指正. 當然, 您可以用 ADUC 圖形介面一個一個去改, 不過樓上提供的指令會更快速. 萬一您看不懂或是不會下 OU 的話, 可以考慮前面串接一個指令:

    <pre class="c" name="code">dsquery user -name Johnson | dsmod user -disabled no -mustchpwd yes

上面的 Johnson 就是 username, 也可以用 * 去搜尋部分字串或全部用戶

  1. gpupdate 只是作用在本機上, 他不會去觸發其他的電腦 GPO 更新. 如果您不想等 90 分鐘, 可以用 PowerShell 指令強迫該電腦重開機:

    <pre class="c" name="code">Restart-Computer -computer WIN123764 -force

重開機之後, 登入時就會套用新的 GPO. 但這個方法不一定可靠, 因為 GPO 常常不是只套用一次就 OK, 有時需要重複登出登入多次, 甚至重開機多次, 才能把所有的 GPO 都套用完畢. GPO 的 refresh interval 是可以修改的, 不一定要用預設的 90 分鐘, 請自行上微軟的 support 網站查 KB 即知.

通常 GPO 派下去後, 我們會等一兩天讓他全部生效, 你無法期待它能 100% 立即生效.

  1. 這代表 GPO 是要跟著使用者走? 還是跟著電腦走? 若跟著使用者走的話, 不館使用者登入哪一台電腦, 這個 GPO 都會有效; 若跟著電腦走的話, 不管是哪一個使用者登入這台電腦, GPO 都會有效. 要看公司內部是用甚麼政策去管理的, 來決定要用哪一種 GPO. 有的 GPO 必須跟人走才有意義, 這種就不會跑到電腦 GPO 去; 反之亦然.

4, 5. 這要看個人的管理習慣. 我自己是習慣分開設, 因為這樣比較容易查錯, 以及萬一緊急時, 可以立即停用. 如果都設定在一個 GPO 裡面, 有時為了要停掉一個 GPO, 得找個好半天才能找到, 然後更新時, 所有用戶又要下載這個很大的 GPO, 在時效上很花時間. 如果一個 GPO 只存一種, 或是同一類的幾種設定, 那麼改這個 GPO, 用戶要更新的時間就可以變得很短, 也比較容易避免需要重複登入登出的問題.

jesy0422 iT邦新手 5 級 ‧ 2010-06-30 20:32:00 檢舉

感謝 raytracy 每次都熱心的回答,
但針對回答的地二點要補充,如果我在DC上下gpupdate後,GPO會馬上在用戶端上生效,這跟你地二點的回答好像有衝突 > < 還是我誤會你的意思了..

raytracy iT邦大神 1 級 ‧ 2010-06-30 21:37:26 檢舉

也許你是對了, 我記性不好; 只是我查不到資料, 單純是個人的記憶, 如有詳細資料, 歡迎提供小弟參考...

jesy0422 iT邦新手 5 級 ‧ 2010-07-01 19:45:57 檢舉

不客氣,教學相長,你讓我學到很多的東西 ^^ 另外我之所以這樣回答,因為那是我實際操作後的結果,有些GPO在DC上下gpupdate指令才會立即在用戶端那套用,比如說帳戶密碼原則,我在用戶端納下指令後重開機,沒反應... 在DC那下指令後才生效 > < 大大可以試驗看看

4
何必問
iT邦好手 1 級 ‧ 2010-06-30 12:09:48

針對你的主題回答

&lt;pre class="c" name="code">dsmod user "cn=user,ou=mis,ou=company,dc=abc,dc=com,dc=tw" -disabled no -mustchpwd yes

我要發表回答

立即登入回答