W2K ActiveDirectory　で初回ログイン時のパスワード変更ができない

かっぱさんの書き込み (2004-06-01 13:05) より:
はじめまして、　現在、 W2K ActiveDirectory　を　XP クライアントで利用中です。
パスワードのポリシーとして、
　7文字以上,複雑さ有効,有効期間90日,変更禁止1日,履歴記録1パスワード
で運用しているのですが、　最近、パスワード有効期限が近づいたため、
ユーザがクライアントでパスワード変更をしようとすると、
　『パスワードを変更するアクセス許可がありません』と表示されるようになりました。
これについては、MicroSoft サポート技術情報を参考に解決できたのですが、　今度は、　新規ユーザを設定した際、次回ログイン時にパスワード変更を義務付けると、　ログイン時のパスワード変更ができなくなりました。　パスワード変更を義務にせず、いったんログインした後、Ctrl+Alt+Delでパスワード変更するようにすれば、パスワード変更が可能です。
　ログイン時にパスワード変更を義務づける方法で、パスワード変更時に『パスワードを変更するアクセス許可がありません』を表示させずに、パスワード変更することはできないでしょうか。

かっぱさんの書き込み (2004-06-01 15:33) より:
関係ありそうなところで、　Everyone と SELF の　ユーザオブジェクトについて、
読みとり権限と、パスワード変更権限を付けてあります。
ログイン後のパスワード変更はできるのですが、　ログイン途中？？？？のパスワード変更ができない事で困っています。

かっぱさんの書き込み (2004-06-01 15:52) より:
SYSTEM については、フルコントロールになってます。・・・・・
ログイン後なら、変更可で、　ログイン途中で変更できない　ということは、
どのように考えたらいいのでしょうか？　

ログイン途中で　パスワードの変更を
問い合わせてくる時の　ＩＤは、　なんなんでしょうか？？　SYSTEM　ってことなん
でしょうか？？？？

ヨッシーさんの書き込み (2004-06-01 16:11) より:
新規でユーザーを作った場合は、どうですか？
今現状で出来ないユーザーアカウントと新規作成のユーザーアカウントをセキュリティの部分で比較してみるのも一つの手ではないかと思いますが…

ヨッシーさんの書き込み (2004-06-01 16:11) より:
ちなみにどのIDのことを言ってます？Active Directoryのユーザーとコンピュータで作成したユーザーでないとログオンは出来ません。SYSTEMは、Active Directoryのユーザーとコンピュータにて選択することができないアカウントです。コンピュータの内部処理用に動くアカウントです。

かっぱさんの書き込み (2004-06-01 16:23) より:

　セキュリティーの差はないのです・・・
　新規ユーザは、ログオン前にパスワードを変更するように設定する訳で、
既存ユーザは、期限の数日前から変更を促すプロンプトがでますので、
ログイン後　Ctrl+Alt+Delete から　パスワード変更すれば、パスワードの変更が
できる　という違いだけです。
　だから、運用上は、　新規ユーザについても、　次回ログオン時のパスワード変更を要する　とはしないで、　ログオン後　初期パスワードを変更してもらうことにするしかないかな・・・　と考えている次第です。