Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

54 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
Attributname Beschreibung Möglicher
Wertebereich
msDS-MinimumPassword-
Age
msDS-MaximumPassword-
Age
msDS-Lockout-
Threshold
msDS-Lockout-
Observation-
Window
msDS-Lockout-
Duration
Wie alt ein Kennwort mindestens sein muss, bevor es wieder geändert
werden kann. Wenn Sie hier einen vernünftigen Wert einstellen, zum Beispiel
1 oder 2 Tage, ist sichergestellt, dass ein Benutzer nicht automatisch
durch die Kennwortchronik wechseln und das gerade erst verwendete
Kennwort erneut verwenden kann. Dieser Wert (wie alle Zeitwerte) wird im
Format Tage:Stunden:Minuten:Sekunden eingegeben. 02:00:00:00 steht
also für zwei Tage.
Legt fest, wie alt ein Kennwort sein darf, bevor es geändert werden muss.
Wenn Kennwörter niemals ablaufen, können Sie den Wert (Nie) eintragen.
Geben Sie andernfalls den Zeitraum im üblichen Zeitformat ein, zum Beispiel
180:00:00:00.
Legt fest, wie oft ein Benutzer das Kennwort falsch eingeben kann, bevor
das Konto gesperrt wird. Mit dem Wert 0 können Sie die Kontosperrung
deaktivieren.
Das Zeitintervall, für das die Zahl falscher Kennworteingaben summiert wird.
Falls dieser Wert zum Beispiel auf 00:00:30:00 gesetzt ist, hat der Benutzer
msDS-LockoutThreshold Versuche innerhalb von 30 Minuten, danach wird
der Zähler zurückgesetzt.
Legt fest, wie lange das Konto gesperrt bleibt, bevor die Sperre automatisch
aufgehoben wird. Wenn Sie den Wert (Nie) eintragen, muss das Konto von
einem Administrator entsperrt werden.
(Kein)
00:00:00:00 bis
msDS-Maximum-
PasswordAge-
Wert
(Nie)
msDS-Minimum-
PasswordAge-
Wert bis (Nie)
msDS-Maximum-
PasswordAge darf
nicht 0 sein
0 bis 65535
(Kein)
00:00:00:01 bis
msDS-Lockout-
Duration-Wert
(Kein)
(Nie)
msDS-Lockout-
Observation-
Window-Wert bis
(Nie)
Tools zum Verwalten abgestimmter Kennwortrichtlinien
Sie haben wahrscheinlich schon erraten, dass Microsoft nicht mehr genug Zeit hatte, um
gute Tools zum Verwalten abgestimmter Kennwortrichtlinien zu entwickeln. Glücklicherweise
stehen einige andere Möglichkeiten zur Verfügung. Joeware.net bietet unter
http://www.joeware.net/freetools/tools/psomgr/index.htm ein Befehlszeilentool an.
Es steht ein GUI-Tool für PowerGUI zur Verfügung, das auf der Windows PowerShell
von Windows Server 2008 aufsetzt:
http://powergui.org/entry.jspa?externalID=882&categoryID=46
Ein weiteres kostenloses GUI-Tool stellt Special Operations Software zur Verfügung:
http://www.specopssoft.com/wiki/index.php/SpecopsPasswordPolicybasic/SpecopsPass
wordPolicybasic/