lokales Benutzerkonto locked out

Hi Leutz,

ich bins mal wieder, heute mit folgendem Problem: in unserer WS2003 AD Domäne wenden wir die Default Domain Policy an, z.B. mit den Kontenrichtlinien ( Lockout nach 3-maliger Fehlanmeldung, Rücksetzen nur vom Admin ). Ich dachte, dass würde sich nur auf Domänenbenutzerkonten beziehen, aber jetzt ist es uns an 2 Maschinen passiert, dass der lokale Admin ebenfalls gesperrt wurde.
Eigentlich kein Problem, aber in diesem Falle sind es Maschinen an Remote-Standorten. :-\

Hat einer eine Idee, wie ich den Account wieder freisschiessen kann und ( falls das mit der Domain Policy zusammenhängt ) wie ich
die Wirkung ändern kann?

Danke und Gruß,
Bine

übers AD. Der betroffene Rechner muss eingeschaltet sein. Rechtsklick auf den Computer und dann Verwalten auswählen. Es öffnet sich die Verwaltungskonsole. Im ersten Eintrag sollte schon der passende Computername erscheinen. Unter lokale Benutzer und Gruppen das entsprechende Konto auswählen und in dessen Eigenschaften die Sperre aufheben.

Mit Kennwort läuft nie ab greift die Sperre nicht mehr. Alle anderen Richtlinienbestimmungen gelten weiterhin.

... wenden wir die Default Domain Policy an ...

Zum Vergrößern anklicken....

Erste Adminregel überhaupt wenn man mit GPO's anfängt zu arbeiten: Niemals die Default Domain Policy oder die Domain Server Policy ändern. Für jede neue Einstellung sollte eine neue GPO angelegt werden. Hintergrund ist der, dass man sich somit nicht verzettelt.

bine30 schrieb:

[...]Ich dachte, dass würde sich nur auf Domänenbenutzerkonten beziehen, aber jetzt ist es uns an 2 Maschinen passiert, dass der lokale Admin ebenfalls gesperrt wurde.[...]

Zum Vergrößern anklicken....

Sorry, das kann so nicht sein - wenn ich bei der Anmeldung nen Domänen-Account angebe und mich beim Passwort n-mal vertippe, wird auch nur der Domänen-Account gesperrt und zwar auch nur _dieser_ eine Domänen-Account.

Ergo kann die Sperrung eines maschinenlokalen Accounts nix mit falschen Domänen-Anmeldeinformationen zu tun haben, das hat mit Sicherheit eine andere Ursache.

Ansonsten schliesse ich mich Snake an:
Die einzige Änderung, die _nur_ und _ausschliesslich_ in der Default Domain Policy gemacht werden _muss_ ist die Regelung der Kennwortkomplexität. Für alles andere kann und sollte man separate Policies erstellen und entsprechend verlinken.

Ggf. lädst du dir bei Marc das Original-Template herunter und hast somit wieder die Defaults in der Default Policy.

Moin Moin,

danke erstmal für eure Antworten, möchte hier noch einige Ergänzungen anbringen:

- in der Default Domain Policy ist nur Kennwort-Komplexität, Gültigkeitsdauer und Anzahl der Fehlversuche festgelegt.

- der Admin-Account wurde nicht bei einer fehlerhaften Anmeldung durch den Benutzer gesperrt, sondern in einer RDP-über-SSL-
VPN-Session, als ein Kollege bei dem Versuch, dem Benutzer ( der hat auf der Büchse keine Admin-Rechte )einen lokalen Drucker
zu installieren, sich wohl bei der Eingabe verhauen haben muss.

Gruß,
Bine