Policy Windows wachtwoord buitendienst

[Verwijderd]

Beste mensen,

Sinds kort hebben een directe VPN verbinding voor onze buitendienst buiten gebruik gesteld. Ter vervanging hiervan bieden wij deze gebruikers een Citrix XenApp sessie aan middels een CAG.

Welnu, we stellen vanuit het bedrijf wel een laptop beschikbaar aan deze gebruikers en worden aangemeld in ons domein om controle uit te oefenen over deze machines. Ook is er een wachtwoord policy op ons domein ingesteld dat elke 3 maanden het Windows wachtwoord gewijzigd moet worden. Nu is het zo dat de buitendienst hele lange tijd niet op kantoor is (dus niet verbonden met ons netwerk) en ook geen beschikking meer hebben over een directe VPN. Wanneer de drie maanden voorbij zijn, word het account gelockt omdat zij niet de mogelijk het hebben gehad de domain controller te bereiken.

Kun je dit op een andere manier afvangen? Dit schijnt nogal een lastig vraagstuk te zijn in de Microsoft wereld.....

Tip en opties zijn van harte welkom!

(Misschien goed om te weten: Wij hebben een domein op W2K8 R2 functional level en maken voor 100% gebruik van Windows 7 Professional clients, dus geen XP meer en nog geen Windows .

Alvast bedankt!!!

[Verwijderd]

Een aparte policy maken, en de groep buitendienst excluden uit je huidige policy.

[Verwijderd]

Oké, maar we willen de drie maanden policy behouden... want ook in Citrix moet het wachtwoord gewijzigd worden.

Men maakt gebruik van Outlook anywhere en webmail etc. Men heeft wel een lokale Outlook client ter beschikking.

[akimosan]

Lokaal account aanmaken op de laptop waarvan het wachtwoord niet gewijzigd hoeft te worden en op de laptop aanmelden met dit account.

Het lokale account goed dichtzetten met policies, applocker, etc, eventueel mandatory profile maken.

Eventueel kun je ook de shell aanpassen dat niet Explorer wordt gebruikt als shell maar bijvoorbeeld internet explorer zodat wel de inlogpagina van de CAG beschikbaar is maar er verder geen applicaties gestart kunenn worden.

Doordat gebruikers lokaal aanmelden met een generiek account zijn de password policies niet van toepassing. Ze kunnen dan hun domein account wachtwoord wijzigen als ze aanmelden of aangemeld zijn op Citrix.

[DukeBox]

Misschien een optie om 2 factor authenthicatie te gebruiken ? Mogelijk kun je dan je 3 maanden policy versoepelen.

Op dit moment gebruiken we zelfs helemaal geen wachtwoorden meer. Middels een pas doe je authenticatie en via een pin (app) op je telefoon de authorisatie. Eventueel kunnen we telefonisch ook pin's afgeven die langer geldig zijn, voor het geval de betreffende gebruiker problemen heeft met zijn tel.

Voorheen gebruikten Self-Service Password Change onder FIM. Hier kan je ook een link sturen met een reminder die enkel te gebruiken is door iemand achter het systeem met een system identity certificate.

[Question Mark]

Als je gebruikers authenticeren via de Citrix Access Gateway kun je deze gewoon instellen dat gebruikers hun (verlopen) wachtwoord kunnen aanpassen.

How to Configure Setup to Allow Users to Change Passwords when Using Access Gateway Enterprise Edition and Web Interface

After the introduction of Access Gateway Enterprise 9.2, users are now allowed to change the expired passwords if the user has completed a proper setup. For environments that still use versions earlier than Access Gateway Enterprise 9.2, this change password feature is not available but you can apply the workaround explained in this article.

Voor Outlook Web Access kan overigens hetzelfde geregeld worden

Configuring the Change Password Feature in Outlook Web App

[ralpje]

Die gebruikers kunnen dat inderdaad wel wijzigen, maar op de laptop wordt ingelogd met een domain account met cached credentials, en die pakt die wachtwoordwijziging uiteraard niet op als er geen connectie met een DC gemaakt wordt.

Mijn suggestie zou inderdaad zijn af te stappen van de domain accounts op de laptops. Ten eerste vind ik (let op: mijn mening) dit contraproductief, zeker voor buitendienstmensen die vaak nog wel eens wat aparte software willen kunnen gebruiken voor bijvoorbeeld presentaties. Omdat vervolgens al je bedrijfsdata via Citrix ontsloten wordt hoef je niet bang te zijn voor kapotte installaties; een browser is genoeg voor die mensen om hun werk te kunnen doen .

[Question Mark]

ralpje schreef op vrijdag 09 mei 2014 @ 20:31:
Die gebruikers kunnen dat inderdaad wel wijzigen, maar op de laptop wordt ingelogd met een domain account met cached credentials, en die pakt die wachtwoordwijziging uiteraard niet op als er geen connectie met een DC gemaakt wordt.

Ik heb even gemist dat het domainmembers zijn. Goep punt

TS: Waarom de keuze gemaakt voor een Acces Gateway oplossing voor remote werken en niet voor Direct Acccess?

[CMD-Snake]

Vergeet overigens ook niet dat de computer account van de laptop ook last krijgt van een expired wachtwoord. Standaard moeten computers die lid zijn van een Windows domein elke 30 dagen hun eigen wachtwoord wijzigen. Doen ze dit niet dan verliest de computer de trust met het domein.

Gezien dat de laptops zelden tot nooit in het domein zich aanmelden zou ik ervoor kiezen om ze in Workgroup stand te zetten ipv domein. Configureer dan met lokale policies op de laptop zaken als Windows update en andere dingen zodat de gebruiker daar geen omkijken naar heeft. Zorg ook dat de gebruiker geen admin is op de machine maar een lokaal account heeft met normale user rechten.

Of stap over op BYOD. Je hebt toch Citrix, dus het enige wat ze nodig hebben is de Citrix Receiver. Geef dan bijvoorbeeld een vergoeding voor een eigen laptop om de X aantal jaar. Kunnen ze zelf kiezen wat ze kopen.

[DukeBox]

CMD-Snake schreef op zaterdag 10 mei 2014 @ 16:10:
Standaard moeten computers die lid zijn van een Windows domein elke 30 dagen hun eigen wachtwoord wijzigen. Doen ze dit niet dan verliest de computer de trust met het domein.

Dat klopt niet. Deze 'policy' wordt door de client geinitieerd en niet door de AD.

Oftewel, de client 'probeert' na 30 dagen zijn account te resetten en anders de eerst volgende keer dat er verbinding is met de AD.
bron: http://blogs.technet.com/...ive/2009/02/15/test2.aspx