Hallo, Fabian hier. Wir hören und lesen oft von Kunden, die nach einem Zeitraum X „ungenutzte“ Computerkonten per Script deaktivieren oder löschen und dann später in Probleme laufen, weil sich Clients nicht mehr authentifizieren können und damit auch keine Benutzeranmeldung mehr möglich ist.
Ein Aufräumvorgang ist grundsätzlich nicht verkehrt und sorgt für eine übersichtliche AD-Umgebung. Nur leider gibt es bei der Durchführung oft Missverständnisse in Bezug auf den Zeitraum, ab wann ein Computerkonto als „nicht aktiv“ gewertet werden sollte bzw. wann das „Computerkennwort abläuft“. Daher an dieser Stelle ein, zwei Zeilen dazu. Der zentrale Punkt bei diesem Thema ist der folgende: Ein Computerkonto Kennwort läuft grundsätzlich erst einmal nie ab, wenn ein Client sich nicht an der Domäne authentifiziert. Computerkonten sind von den „normalen“ Kennwortrichtlinien ausgenommen – meldet sich ein Client also beispielsweise 3 Monate lange nicht am Unternehmensnetzwerk an, so ist das kein Problem. Der Client wird nach der Verbindung mit einem Domänencontroller seiner Domäne nach Aufbau des sicheren Kanals mittels des alten, immer noch gültigen Kennworts, die Kennwortänderung initiieren. Das passiert jedoch nicht unmittelbar nach dem Aufbau des sicheren Kanals, dazu später mehr in diesem Blog Eintrag.
Hat man nun vor diesem Zeitpunkt schon per Script bzw. automatisierten Task das Computerkonto als „stale“ deaktiviert oder gelöscht, weil das Computerkennwort für 90 Tage nicht geändert wurde (etwa mittels „dsquery computer –stalepwd 90 | dsmod computer –disabled yes“) oder weil es aufgrund des fehlenden Logons eines Clients keine Änderung des Attributs „lastLogonTimestamp“ mehr an dem Computerkonto gab („dsquery computer –inactive 90 | dsmod computer –disabled yes“), dann läuft man zwangsweise in Probleme, da sich der Client nicht mehr an der Domäne authentifizieren kann.
Es gibt die Möglichkeit, das Verhalten für die Kennwortänderungen zu beeinflussen. Hierzu kann bei Bedarf wie folgt vorgegangen werden:
Der zugehörige Registrierungsschlüssel zu dieser Einstellung lautet: Schlüssel: HKLM\SYSTEM\CurrentControlSet\Services\NetLogon\ParametersWert: MaximumPasswordAge REG_DWORD 30Mögliche Werte: 1 bis 1.000.000 (in Tagen)
Siehe dazu: MaximumPasswordAge http://technet.microsoft.com/en-us/library/cc775452.aspx
Ist dieser Wert nach der letzten Kennwortänderung des Clients überschritten, wird der Client versuchen, sein Computerkennwort zu ändern. Bis er es geschafft hat wird das alte Computerkennwort verwendet.
Möchte man also einen automatisierten Aufräumvorgang per Script o.ä. realisieren, sollte vorher das genaue Anmeldeverhalten der Benutzer mit Ihren Computern geprüft werden. Kommt es vor, daß Benutzer z.B. mit Ihren Laptops sich nur alle 3 Monate im Unternehmensnetzwerk anmelden (egal ob direkt oder per VPN), sollte der Zeitraum für den Aufräumvorgang höher als 90 Tage liegen. Zusätzlich sollte der oben genannte Scavenging Intervall ggf. überprüft werden – denn wenn ein Client vielleicht nur knappe 14 Minuten im Netzwerk angemeldet ist, wird er aufgrund des versetzten Zeitraumes der Kennwortänderung nicht mehr zu dieser Aktion kommen.
Er kann sich dann weiterhin mit seinem alten Kennwort authentifizieren – aus Sicherheitsgründen ist es aber durchaus sinnvoll, das Kennwort regelmäßig zu erneuern. Also kann man entweder den „ScavengeInterval“ und die "negative cache period" notfalls anpassen oder man muß dafür sorgen, daß die Clients länger als 15 Minuten im Netzwerk mit DC Zugriff / secure channel angemeldet sind.
Ab und an kommt es bei einigen Kunden von uns dann trotzdem zu Problemen, obwohl die Computerkonten nicht manuell oder per Script zurückgesetzt / deaktiviert / gelöscht wurden und Computer können sich nicht mehr an der Domäne authentifizieren. Die häufigsten Ursachen hierfür sind unserer Erfahrung nach die folgenden:
Also – möchte man „ungenutzte“ Computeraccounts deaktivieren oder löschen, sollte man hier Umsicht walten lassen. Fallen dauernd Computerkonten aus dem Raster, weil der Säuberungsintervall von eigenen Scripten zu aggressiv ist, macht man sich schnell mehr Arbeit, als man ohne diesen Aufräumvorgang hätte.
Auf keinen Fall soll die Angabe der Registry Werte in diesem Blog Eintrag ein Aufruf sein, diese zu ändern. ;-) Vielmehr soll es zum Verständnis dienen, welche Prozesse und Grenzwerte hier eine Rolle spielen, um ggf. das eigene Konzept entsprechend anzupassen.
Viele GrüßeFabian