- PR -

W2K ActiveDirectory　で初回ログイン時のパスワード変更ができない

«前のページへ 1|2|3
投稿者投稿内容
かっぱ
常連さん
会議室デビュー日: 2004/06/01
投稿数: 29
投稿日時: 2004-06-08 13:37
引用:

かっぱさんの書き込み (2004-06-02 17:19) より:
当方は、セキュリティーポリシーで各種設定をしているので、
そのあたりをつぶしていかないといけないのかもしれません。
明日は、その方面から　チェックしてみます。


悪さしているポリシーがわかりました。
ドメインコントローラーの　ローカルセキュリティーポリシー　の

ローカル ポリシー　セキュリティーオプション　匿名接続の追加を制限する

でした。

最初は、上位ポリシーを　適用無し　にしてみたのですが、　なかなか解決せず、
最後はここくらいかな？　と　ドメインコントローラー自身のローカルポリシーに
当たってみました。

当初ここが、明示的な匿名アクセス権が無い場合アクセスを許可しない　になって
いたのですが、　これを、　なし（既定のアクセス権に依存）　に変更したところ、
パスワード変更が可能になりました。

さて、
①　では、どうして、これが変更になったのでしょうか？
②　この変更をすることで、セキュリティー上他の問題が発生するでしょうか？

このあたりが　新たな疑問でしょうか？？？？

追伸：　当方では、　ドメインコントローラーが　２台ありまして、
最初は、　１台だけ　上記変更をしたところ、　パスワード変更ができる場合と、
そうでない場合が、ありました。　クライアントはすべてＸＰだったのですが、
ローカルポリシーだったので、　もう一台のドメインコントローラーを見たところ、
明示的な匿名アクセス権が無い場合アクセスを許可しない　のままだったので、
これも、　なし　に変更しました。

[ メッセージ編集済み 編集者: かっぱ 編集日時 2004-06-08 13:49 ]
ヨッシー
ベテラン
会議室デビュー日: 2004/04/27
投稿数: 79
お住まい・勤務地: 朝霞市から豊洲へ
投稿日時: 2004-06-08 18:35
引用:

かっぱさんの書き込み (2004-06-08 13:37) より:

さて、
①　では、どうして、これが変更になったのでしょうか？
②　この変更をすることで、セキュリティー上他の問題が発生するでしょうか？

このあたりが　新たな疑問でしょうか？？？？

[ メッセージ編集済み 編集者: かっぱ 編集日時 2004-06-08 13:49 ]

とりあえず、よかったですね。やはり侮れないですね。セキュリティポリシーの部分は…。

①に関しては、どうやらご自身で変更した記憶がないらしいですね。社内のActive Directoryを確認しましたが、ドメインコントローラー・ドメインセキュリティポリシーに関しては、特に設定はしていないので未定義のままでした。ローカルセキュリティポリシーは、ドメインの設定が引き継がれるので関係なしと思われます。
②に関しては、私見ですが、大企業などで拠点が2箇所ある方の場合にパスワード変更が出来ないと困るのではと思われます。セキュリティ上問題があるかと言われれば、ちょっと考え込んでしまいますが、社内では『未定義』にしていて特に問題にはなっていません。

ただし、その会社によってセキュリティポリシーはかなり違いがあるので、一概に『未定義』にしておくことが良いとは限りません。この辺をわきまえて管理を煩雑にしないようにするしかないのかなと私は考えます。
なな
ぬし
会議室デビュー日: 2003/06/22
投稿数: 659
お住まい・勤務地: 愛知県
投稿日時: 2004-06-09 08:32
ちょっと時間がないので...URLのみで失礼します。
Windows 2000 でレジストリ値 RestrictAnonymous を使用する方法

引用:

Windows 2000 ベースのドメイン コントローラでレジストリ値 RestrictAnonymous に 2 を設定した場合、以下の操作が制限されます。
Microsoft Windows NT ユーザーは、パスワードの有効期限が切れた後、パスワードを変更できません。また、Macintosh ユーザーはパスワードをまったく変更できません。

かっぱ
常連さん
会議室デビュー日: 2004/06/01
投稿数: 29
投稿日時: 2004-06-09 09:10
引用:

ななさんの書き込み (2004-06-09 08:32) より:

引用:

Windows 2000 ベースのドメイン コントローラでレジストリ値 RestrictAnonymous に 2 を設定した場合、以下の操作が制限されます。
Microsoft Windows NT ユーザーは、パスワードの有効期限が切れた後、パスワードを変更できません。また、Macintosh ユーザーはパスワードをまったく変更できません。




この場合の　NT　ユーザというのは、　2000　XP も含まれるのでしょうか？？？
というより、含まれるから、パスワード変更ができなかったのでしょうね。
なな
ぬし
会議室デビュー日: 2003/06/22
投稿数: 659
お住まい・勤務地: 愛知県
投稿日時: 2004-06-10 08:12
引用:

NT　ユーザというのは、　2000　XP も含まれるのでしょうか？？？


含まれると思いますが...こちらの技術文書ならびにUS技術文書からははっきりわかりません。

引用:

含まれるから、パスワード変更ができなかったのでしょうね。


わたしもそう思います。
«前のページへ 1|2|3

スキルアップ／キャリアアップ（JOB@IT）