Vi har ett AD med 2003 servrar och klienter med XP. Vi har uppgraderat 1 av 3 Domänkontrollanter till SP1. Ungefär samtidigt så började vi få ett lösenordsproblem, men jag vet inte om det hänger ihop. När lösenprdet börjar bli gammalt för användarna så uppmanas dom vid inloggning att byta till ett nytt. Om dom försöker göra detta så säger windows ifrån att de inte har rättigheter att göra det. Loggar dom däremot in med sitt gamla lösen och trycker Ctrl+Alt+Delete och väljer byt lösen så funkar det.. Om dom väntar med att byta lösen tills det har låst sig så kan dom inte logga in för att byta lösen och inte heller byta direkt som man borde kunna... Detta slutar ju såklart med att vår helpdesk får ganska många samtal om lösenordsbyten.....

Nån som vet vad det beror på?



/Stefan

Okej.. Nu har jag kommit på varför det "helt plötsligt" har blivit såhär...



Vi gjorde nyss en ändring i vårt AD enligt "Microsoft Security Guide". Vi ändrade en inställning till:

Network access: Let Everyone permissions apply to anonymous users satte vi till DISABLED.



Eftersom det är en anonym inloggning mot domänkontrollanten när man ska byta lösen innan man är inloggad på klienten, så funkar det inte även fast Everyone får byta lösen.



Eftersom Microsoft rekomenderar att man sätter policyn till disabled så borde det väl finnas en workaround?

Hur gör alla andra, eller är det ingen som säkrar upp enligt Microsoft Security Guiden?



/Stefan

Nu är jag inne på två möjliga lösningar. Antingen beror det på att vi ändrade "Network access: Let Everyone permissions apply to anonymous users till DISABLED". Och då har jag hittat på nätet att det ordnar sig i XP SP2 eller med en patch som man kan få om man ringer till Microsoft - Q328817.



Det andra som jag oxå är inne på är att vi uppgraderade en av våra domänkontrollanter till SP1. Jag hittade en bra artikel om vad som händer då som passar in på oss... http://support.microsoft.com/default.aspx?scid=kb;en-us;555340&sd=rss&spid=3198



Nu har jag gjort det som beskrivs i artikeln ovan och hoppas att det löser det.

Man ändrar "Network Access: Named pipes that can be accessed anonymously" enligt artikeln...



/Stefan