WINDOWS_2008_域控制器下修改密码策略

引用：/zh-cn/library/cc754956(WS.10).aspxRODC 常见问题解答更新时间: 2009年5月应用到: Windows Server 2008本部分包括与RODC 有关的常见问题及其解答。

这些问题涵盖从一般的背景信息到深入的技术问题等方方面面的内容。

哪些新属性支持RODC 密码复制策略？密码复制策略是一种机制，用于确定是否允许将用户或计算机的凭据从可写域控制器复制到RODC。

在运行Windows Server 2008 的可写域控制器上会始终设置密码复制策略。

已将下列属性添加到Active Directory 架构中，以便实现RODC 缓存操作所需的功能：•msDS-Reveal-OnDemandGroup。

该属性指向允许列表的可分辨名称(DN)。

允许将允许列表中的成员的凭据复制到RODC。

•msDS-NeverRevealGroup。

该属性指向拒绝将其凭据复制到RODC 的安全主体的可分辨名称。

这对这些安全主体使用RODC 进行身份验证的功能没有影响。

RODC 从不缓存拒绝列表中的成员凭据。

会提供拒绝将其凭据复制到RODC 的安全主体默认列表。

这样可以提高使用默认设置部署的RODC 的安全性。

•msDS-RevealedList。

该属性是其当前密码已被复制到RODC 的安全主体的列表。

•msDS-AuthenticatedToAccountList。

该属性包含本地域中已向RODC 进行身份验证的安全主体的列表。

该属性的目的是帮助管理员确定哪些计算机和用户使用RODC 进行登录。

这使管理员能够改进RODC 的密码复制策略。

一个RODC 可以向其他RODC 进行复制吗？不可以，同一站点中同一个域的两个RODC 不能共享缓存的凭据。

可以为同一站点中的同一个域部署多个RODC，但如果中心站点的WAN 脱机，这可能会导致用户的登录体验有所不同。

如果分支机构中WAN 脱机，但RODC 联机，哪些操作会失败？如果RODC 无法连接到中心站点中运行Windows Server 2008 的可写域控制器，则以下分支机构操作会失败：•密码更改•尝试将计算机加入域•计算机重命名•对其凭据未在RODC 上缓存的帐户进行的身份验证尝试•管理员可能通过运行gpupdate /force命令尝试的组策略更新如果分支机构中WAN 脱机，但RODC 联机，哪些操作会成功？如果RODC 无法连接到中心站点中运行Windows Server 2008 的可写域控制器，则以下分支机构操作会成功：•身份验证和登录尝试（如果已缓存资源和请求者的凭据）。

Bitlocker实验攻略环境2003r2域控制器2008r2域控制器（装有ADCS）Windows8企业版客户端一台U盘一个实现的功能在Ad环境中使用bitlocker并配置相应的组策略何以实现如下功能1：对移动设备的加密。

2：当事人忘记移动密钥时可以通过bitlocker数据恢复代理的证书指纹恢复。

（指纹密钥可以导出并且存储，无论多少个移动设备指纹密钥匙就一个。

当然也可以通过48位恢复密钥恢复）3：产生的恢复密钥可以保存在Ad中（也可以全部删除恢复密钥，并且只用bitlocker的数据恢复代理的证书指纹）4：为移动设备提供唯一的标识符，非组织的移动设备无法写入只能读取。

并且移动设备插入后，就算根据提示，启用了bitlocker之后可以打开读取内容，但是没有唯一标识符，还是无法写入。

新增策略1：不允许用户本地登录，在策略中配置，允许用户本地登录策略，但是不添加任何用户，就是任何用户不能本地登录2：创建一个容器，对需要配置bitlocker标识符的计算机进行单独组策略配置，在控制面板的本机用户中，除了对数据恢复代理用户，企业it管理员外，任何人不能够拥有本地计算机管理员权限，只允许拥有使用者权限。

实验流程一：证书模版的配置二：bitlocker数据恢复代理的证书申请配置三：组策略的配置四：对移动设备的配置1：首先在2008r2上，“mmc控制台”添加“证书模版”在证书模版中右击“用户”这个模版，在所有任务中，点击复制模版，如下图2:点击确定，因为域功能级别为2003所以选择windows server 2003 enterprise3：在常规中除了修改名称外都保持默认（证书的有效期就算过了，也不会影响到恢复代理）4：在扩展中选择“应用程序策略”点击“编辑”。

5：点击选择“bitlocker数据恢复代理”点击确定。

6:点击确定7：在“使用者名称中”只选择“用户主体”名称，其他取消了8：在控制台中添加证书颁发机构，右击“证书模版”，新建，点击要颁发的证书模版，然后找到刚才配置的证书模版，发布。

下发域控组策略关于下发域控组策略的过程和相关内容。

在本文中，我们将逐步回答有关此主题的问题，并提供有关如何在域控制器上下发组策略的详细说明。

第一节：什么是域控制器和组策略在开始讨论如何下发域控制器（DC）组策略之前，我们需要了解域控制器和组策略的基本概念。

1. 域控制器（Domain Controller）：域控制器是在Microsoft Windows Server环境中用于实施和管理基于域（Domain）的网络的服务器。

域控制器存储了有关网络中的用户账户、计算机和其他网络资源的信息，并被用于身份验证和授权。

2. 组策略（Group Policy）：组策略是一种在Windows环境中实施和管理网络安全和配置的方法。

组策略允许IT管理员为其域中的用户和计算机设置和强制执行特定的安全设置、应用程序设置、网络连接设置等。

第二节：如何下发域控制器组策略1. 准备工作在下发组策略之前，需要先准备好以下内容：- 管理员账户：需要使用具有适当权限的域管理员账户进行组策略管理。

- 域环境：需要部署一个域控制器并创建一个活动目录（Active Directory）域，以组织和管理用户和计算机账户。

- 组策略对象（Group Policy Object，GPO）：GPO是组策略的容器，其中包含了一系列组策略设置。

可以使用“组策略管理”工具创建和编辑GPO。

2. 创建和编辑GPO创建和编辑GPO的步骤如下：- 打开“组策略管理”工具（可以在域控制器上的“管理工具”中找到）。

- 在“组策略管理”界面中，展开“林”>“域”>“域名”>“默认域策略”。

- 右键单击“默认域策略”，选择“编辑”。

- 在“组策略管理编辑器”界面中，可以编辑各种组策略设置，如安全设置、软件设置、Windows设置等。

3. 配置组策略设置通过编辑GPO，可以配置各种组策略设置，例如密码策略、桌面设置、网络设置等。

- 密码策略：可以设置密码长度、复杂性要求、账户锁定策略等。

windows 2003 域密码策略设置在域控制器上的开始菜单中打开“运行”，输入DSA.MSC后回车，即打开活动目录的用户和计算机管理控制台。

在域节点右键，进入属性，打开组策略选项卡，在里边找到Default Domain policy这个GPO选中他，点击下面的编辑，现在就会打开组策略编辑器，在这个组策略编辑器中找到一下路径：计算机配置-WINDOWS设置-安全设置-帐户策略-密码策略。

在这个路径下找到“密码必须符合复杂性要求”设置为禁用，“密码长度最小值”设置为0。

这样你就可以创建空密码的用户帐户了（当然在这里你也可以为你的域设置你自己需要的密码策略），完成了以上设置后并没有完，还有最后一步，就是在开始菜单的运行中输入“GPUPDATE /FORCE”这个命令。

另：1、如何在WIN2003中添加用户？每次添加用户时总是提示我不符合密码策略，怎么办？问：如何在WIN2003中添加用户？我将公司的主域服务器改成win2003，但是win2003却不让我添加用户，每次添加用户是总是提示我不符合密码策略，怎么办？答：对于2003域，默认域的安全策略与2000域不同。

要求域用户的口令必须符合复杂性要求，且密码最小长度为7。

口令的复杂性包括三条：一是大写字母、小写字母、数字、符号四种中必须有3种，二是密码最小长度为6，三是口令中不得包括全部或部分用户名。

当然也可以重新设默认域的安全策略来解决。

操作如下：开始/程序/管理工具/域安全策略/帐户策略/密码策略：密码必须符合复杂性要求：由“已启用”改为“已禁用”；密码长度最小值：由“7个字符”改为“0个字符”。

使此策略修改生效有如下方法：1、等待系统自动刷新组策略，约5分钟~15分钟2、重启域控制器（若是修改的用户策略，注销即可）3、使用gpupdate命令。

（推荐使用这个）说明：2000中使用的刷新组策略命令secedit /refreshpolicy machine(或user)_policy /enforce 命令在03中已由gpupdate取代。