उपयोगकर्ता अवरुद्ध नीति कहां गई?

एक बिंदु पर, व्यवस्थापक यह सुनिश्चित करने का निर्णय लेता है कि उपयोगकर्ता अवरोधन नीति सभी डोमेन नियंत्रकों पर काम करती है। Rsop.msc डोमेन नियंत्रक पर लॉन्च किया गया है और व्यवस्थापक को अपेक्षित चित्र देता है:

लेकिन दूसरे सर्वर पर, व्यवस्थापक को हल्का झटका लगता है:

यह तुरंत ध्यान दिया जाना चाहिए कि सभी सर्वर "कहां = डोमेन नियंत्रकों" में स्थित हैं और समान नीतियां उन पर लागू होती हैं। नियंत्रक OS: 2008 R2।

मैं इसे थोड़ा शुक्रवार की पहेली बनाने का प्रस्ताव देता हूं।



पहले सोचा था कि राजनीति को किसी तरह लागू नहीं किया गया है, टीम पर सारांश डेटा जारी करने से तुरंत दूर हो गया है

gpresult /R 

लागू नीतियों का सेट सभी नियंत्रकों के लिए समान है।

अंत में, नैतिकता इस तथ्य को रेखांकित करती है कि टीम:

 gpresult /Z /S ad2 

"खाता लॉकआउट नीति" अनुभाग के बारे में कुछ भी उल्लेख नहीं है। उसी समय, पहले नियंत्रक के लिए

 gpresult /Z /S ad1 

सभी मापदंडों के साथ "खाता लॉकआउट नीति" अनुभाग सूचीबद्ध करता है।

अपने नियंत्रकों की जांच करें - शायद आप परिणाम पर आश्चर्यचकित होंगे ।
सबसे दिलचस्प बात यह है कि राजनीति काम करती है! यदि आप दूसरे नियंत्रक (उदाहरण के लिए, LDAP बाइंड का उपयोग करके) के माध्यम से एक असफल लॉगिन करने के लिए एक निर्दिष्ट संख्या का प्रयास करते हैं, तो उपयोगकर्ता अवरुद्ध है।

मेरा सुझाव है कि समुदाय जो हो रहा है उसके कारणों के संस्करण पर टिप्पणी करता है, साथ ही उपयोगकर्ता की अवरुद्ध नीति के स्वास्थ्य की पुष्टि करने के लिए एक विधि पर सुझाव देता है।

शाम को, मैं वैसे भी इस प्रश्न का उत्तर देने का कार्य करता हूं।

युपीडी। टिप्पणियों में मान्यताओं की संख्या और इस पद के लिए मतदान करके, विषय दिलचस्प नहीं है और ईस्वी के काम की बारीकियों को "ड्राइंग" के साथ एक चर्चा की व्यवस्था करना संभव नहीं होगा। यह अफ़सोस की बात है कि शायद मैं अपने लिए कुछ नया खोजूंगा।

चूंकि मैंने उत्तर देने का वादा किया था

एक दस्तावेज़ KB927908 है जो बताता है कि 2003 सर्वर चलाने वाले डोमेन नियंत्रकों पर, RSoP नीतियों के एक भाग के निर्धारित मानों को प्रदर्शित नहीं करता है, अर्थात्:
कंप्यूटर कॉन्फ़िगरेशन / विंडोज सेटिंग्स / सुरक्षा सेटिंग्स / खाता नीतियां / पासवर्ड नीति के तहत नीतियां:

• पावर पासवर्ड इतिहास
• अधिकतम पासवर्ड आयु
• न्यूनतम पासवर्ड आयु
• न्यूनतम पासवर्ड लंबाई
• पासवर्ड को जटिलता आवश्यकताओं को पूरा करना चाहिए
• डोमेन में सभी उपयोगकर्ताओं के लिए प्रतिवर्ती एन्क्रिप्शन का उपयोग करके पासवर्ड स्टोर करें

कंप्यूटर कॉन्फ़िगरेशन / विंडोज सेटिंग्स / सुरक्षा सेटिंग्स / खाता नीतियां / खाता लॉकआउट नीति के तहत नीतियां:

• खाता लॉकआउट अवधि
• खाता लॉकआउट थ्रेशोल्ड
• खाता लॉकआउट काउंटर के बाद रीसेट करें

कंप्यूटर कॉन्फ़िगरेशन / विंडोज सेटिंग्स / सुरक्षा सेटिंग्स / स्थानीय नीतियां / सुरक्षा विकल्प के तहत नीति:

• नेटवर्क सुरक्षा: लॉगऑन घंटे समाप्त होने पर बल लॉगऑफ़

व्यवहार में, मैंने 2008 और 2008 R2 सर्वर पर वर्णित समस्या का अवलोकन किया।
यह भी बताता है कि पीडीसी एमुलेटर की भूमिका के बिना डोमेन नियंत्रकों पर वर्तमान नीति को देखने के लिए, आप कमांड लाइन उपयोगिता का उपयोग कर सकते हैं:

 net accounts /domain 

डीसी पर नीतियां लागू करने की विशेषताएं

उपयोगकर्ता अवरुद्ध नीति की विशेषताओं के बारे में, यह दस्तावेज़ KB259576 को पढ़ने के लिए भी लायक है कि डोमेन नियंत्रक पर कुछ सेटिंग्स केवल डोमेन रूट से जुड़ी नीतियों से लागू होती हैं। और उपयोगकर्ता ब्लॉकिंग नीति इस सूची में है।

उपयोगकर्ता अवरोधक नीतियों को लागू करने में पीडीसी एमुलेटर की विशेष भूमिका क्या है?

सबसे पहले, नीति कैसे लागू की जाती है - वास्तव में, उपयोगकर्ता को अवरुद्ध करने के लिए मापदंड निर्धारित करते समय, डीसी डोमेन ऑब्जेक्ट की विशेषताओं से पैरामीटर लेता है।

इसलिए नीति लागू करते समय, इन मूल्यों को नियंत्रक द्वारा पीडीसी एमुलेटर की भूमिका के साथ निर्धारित किया जाता है।
इसके बारे में आप एक दिलचस्प जासूसी कहानी पढ़ सकते हैं।

शायद यही कारण है कि RSoP अन्य नियंत्रकों पर इस नीति को प्रदर्शित नहीं करता है - उन्हें इसकी आवश्यकता नहीं है - उनके पास निर्देशिका में पैरामीटर हैं।