- PR -

Windows20003 ActiveDirectoryでのアカウントポリシー設定について

1
投稿者投稿内容
fukuji180
常連さん
会議室デビュー日: 2004/11/04
投稿数: 37
投稿日時: 2004-11-04 19:19
過去ログでアカウントポリシー設定は「Default Domain Policy」でのみ設定出来ないと
記載がありますよね。
この場合下記のように事を実現するための設定は可能なのでしょうか？

一般ユーザーはアカウントポリシーでパスワードの長さ，アカウントロック，有効期限，パスワード履歴を指定の数値に設定する。

特定のＯＵ配下にアカウントを作成し、そのアカウントは上記のポリシーを適用しない
※）特別アカウントとしてパスワード有効期間を無制限，パスワード変更不可，ロックが掛からないようにしたい

最悪アカウントを作成するときにアカウントのプロパティー　アカウントオプションで設定可能な「ユーザーはパスワードを変更できない」「パスワードを無制限にする」を指定すれば可能なのでしょうか?


dellgate
大ベテラン
会議室デビュー日: 2004/02/20
投稿数: 198
投稿日時: 2004-11-04 20:24
アカウントロックの制御以外は、特にポリシーの継承ブロックを行わなくても”アカウントのプロパティ”でそれぞれ「パスワードを無期限にする」「ユーザーはパスワードを変更できない」のチェックをすることで対応できたと思います。

アカウントロックについては、ポリシーでしか設定できなかったと思うので、fukuji180様の期待のとおりには行かないかと思います。
#ロックアウトはセキュリティ上するようにした方がいいと思うのですが。。。。

fukuji180
常連さん
会議室デビュー日: 2004/11/04
投稿数: 37
投稿日時: 2004-11-05 10:32
dellgateさんありがとうございました。

早速テストしてみました。

ＯＵ単位のグループポリシーでアカウントポリシーは設定可能ですが、ＡＤアカウント
にはそれは適用されないようです。
あくまでローカルで作成されたアカウントの適用されます。
ＡＤドメインアカウントにアカウントポリシーを設ける場合は、ドメインセキュリティーポリシーに設定する必要があります。

なお、アカウント個別に「パスワードを無期限にする」「ユーザーはパスワードを変更できない」を設定する事は可能でちゃんと動作したようです。
ただしアカウントロック不可は設定項目が無いので出来ませんでしたね。

色々とありがとうございました。
dellgate
大ベテラン
会議室デビュー日: 2004/02/20
投稿数: 198
投稿日時: 2004-11-05 10:50
引用:

fukuji180さんの書き込み (2004-11-05 10:32) より:
dellgateさんありがとうございました。

早速テストしてみました。

ＯＵ単位のグループポリシーでアカウントポリシーは設定可能ですが、ＡＤアカウント
にはそれは適用されないようです。
あくまでローカルで作成されたアカウントの適用されます。
ＡＤドメインアカウントにアカウントポリシーを設ける場合は、ドメインセキュリティーポリシーに設定する必要があります。



誤解されていたのかもしれませんが、過去ログでもアカウントポリシーは「Default Domain policy」のみでしか設定できない、となっていたと思います。（ＯＵ毎にも設定項目は存在しますが使用されません。）
よって、ご確認の動作は既定です。

「ＯＵごとのポリシーとして設定することはできませんが、該当ＯＵへの継承をブロックすることで、ポリシーを適用させないようにすることは可能です。」というのが、私が言いたかったことです。
1

スキルアップ／キャリアアップ（JOB@IT）