RDP password change scherm?

[Vaxtrian]

Mijn vraag
Kan er een password change scherm komen als je met een verlopen password probeert in te loggen op de RDP?


Relevante software en hardware die ik gebruik
Windows Server 2012, alle machines hebben Windows 10(laptops op docking stations en gewone computers) en als laatste hebben we een 20 tal Thin clients (Dell Wyse 3040)


Wat ik al gevonden of geprobeerd heb
Gevonden:
Network Layer Authentication verlagen (geen keuze, verlaagd security)
RD Web Access

Geprobeerd:
enablecredsspsupport:i:0 , werkte niet


Hoe we het nu doen:
Users krijgen een week van te voren een mail dat ze hun password moeten veranderen, iedere dag daarna ook. Als ze het wachtwoord vergeten te veranderen, veranderen wij het wachtwoord via active directory. Daarom willen we hier nu ook iets van een password change scherm als je inlogt met een verlopen wachtwoord...

[ Voor 3% gewijzigd door Vaxtrian op 19-12-2018 12:53 ]

[Hero of Time]

De huidige RDP clients van MS doen aan pre-authenticatie, waarbij je je inloggegevens invult voordat je daadwerkelijk op de server zit. Hierdoor krijg je niet het scherm wat je wilt als een wachtwoord is verlopen.

Wat je dan kan doen, is de verbinding opslaan in een apart RDP bestand, of de standaard bewerken, en met kladblok openen. Zet dan het volgende erbij, waardoor je het inlogscherm op de server zelf krijgt:

code:

enablecredsspsupport:i:0

Let wel op hiermee, als je een RDS farm hebt met een connection broker, zullen gebruikers meerdere keren moeten inloggen omdat je hiermee effectief het meesturen van de inloggegevens uitschakelt.

Bij thin clients kan je het waarschijnlijk in de geavanceerde verbindingsopties toevoegen. Clients die bij het domein zijn aangemeld krijgen natuurlijk lokaal de melding over verlopen wachtwoord. Je probleem doet zich alleen voor bij stand-alone clients, zoals thin clients (die kan je overigens wel bij het domein aanmelden) die puur verbinding maken met RDP om echt te werken.

[FreshMaker]

[quote]Vaxtrian schreef op woensdag 19 december 2018 @ 08:40:
( dus van 6:45 tot 9:15 geen interwebz )

[ Voor 93% gewijzigd door FreshMaker op 28-01-2019 12:35 ]

[Vaxtrian]

Hero of Time schreef op woensdag 19 december 2018 @ 10:44:
De huidige RDP clients van MS doen aan pre-authenticatie, waarbij je je inloggegevens invult voordat je daadwerkelijk op de server zit. Hierdoor krijg je niet het scherm wat je wilt als een wachtwoord is verlopen.

Wat je dan kan doen, is de verbinding opslaan in een apart RDP bestand, of de standaard bewerken, en met kladblok openen. Zet dan het volgende erbij, waardoor je het inlogscherm op de server zelf krijgt:

code:

enablecredsspsupport:i:0

Let wel op hiermee, als je een RDS farm hebt met een connection broker, zullen gebruikers meerdere keren moeten inloggen omdat je hiermee effectief het meesturen van de inloggegevens uitschakelt.

Dat van enablecredsspsupport heb ik geprobeerd of dat werkte op 3 machines, werkte op geen een.

[Hero of Time]

Vaxtrian schreef op woensdag 19 december 2018 @ 12:53:
[...]

Dat van enablecredsspsupport heb ik geprobeerd of dat werkte op 3 machines, werkte op geen een.

Maar wat kreeg je dan wel, of niet?

[MAX3400]

Vaxtrian schreef op woensdag 19 december 2018 @ 12:53:
[...]


Dat van enablecredsspsupport heb ik geprobeerd of dat werkte op 3 machines, werkte op geen een.

Omdat credssp ook in het register van de ontvangende machines tegenwoordig wordt afgevangen. Het is in een aantal gevallen nodig om (tijdelijk) credssp op je target-machine.

https://support.microsoft...e-2018-0886-march-13-2018

[ Voor 11% gewijzigd door MAX3400 op 19-12-2018 12:57 ]

[Vaxtrian]

Oke, we hebben er voor nu hier voor gekozen om NLA toch maar een beetje naar beneden te halen zodat dit kan werken. NLA verlagen geeft ook nog bij een andere iets belangrijker programma een probleempje, vandaar.
Dus voor nu heb ik dan toch een .rdp file gemaakt met enablecredsspsupport:i:0 en voor iedereen beschikbaar gesteld...

[Vorkie]

https://www.adaxes.com/ac...ervice-password-reset.htm

Is zoiets niet beter? Dan hoef je tenminste niet je beveiliging naar beneden te brengen...

[Verwijderd]

Het verlopen van een wachtwoord is wel wat achterhaald. Wellicht is het implementeren van MFA (wat prima kan voor RDP) en een sterk wachtwoord een idee?

[Wylana]

Geen idee of ik het verkeerd begrepen heb, maar als je al ingelogd bent, dan kan je met CTR+ALT+END de optie krijgen om je wachtwoord te wijzigen.

je krijgt dan hetzelfde als CTR+ALT+DEL, maar dan van de RDS server ipv je lokale Windows.

[Hero of Time]

Wylana schreef op dinsdag 22 januari 2019 @ 15:58:
Geen idee of ik het verkeerd begrepen heb, maar als je al ingelogd bent, dan kan je met CTR+ALT+END de optie krijgen om je wachtwoord te wijzigen.

je krijgt dan hetzelfde als CTR+ALT+DEL, maar dan van de RDS server ipv je lokale Windows.

Eerste zin van de TS:

Kan er een password change scherm komen als je met een verlopen password probeert in te loggen op de RDP?

Dus, wachtwoord verlopen, hoe pas je die aan? Ctr+Alt+End kan niet, want je hebt (nog) geen sessie om dat in uit te voeren.

Veel succes dan.

[ThomVis]

Als je een Windows machine heb in hetzelfde forest kan je lokaal CTR+ALT+DEL doen, Change password kiezen en de gebruikersnaam aanpassen aan degene welke het wachtwoord gewijzigd moet worden.

[vso]

@Vaxtrian & @Hero of Time Oude windows server 2k3 (op de cd) bevat een iis website (ook via https te doen) waarbij je users de mogelijkheid kan geven om het password te wijzigen direct via AD

Google even op "iisadmpwd" zal je genoeg informatie vinden om je verder te helpen .. (ook handig voor SSO omgevingen waar linux/mac desktops aanwezig zijn)

[Hero of Time]

@vso, je weet dat je nu antieke en achterhaalde technieken adviseert die alles behalve ondersteund zijn en zeer waarschijnlijk niet gaan werken als je AD functielevel 2012 of hoger is? Daarnaast bestaat er ook nog iets als RDWeb, waar je het ook mee kan zonder te grijpen naar die stenentijdperk middelen?

En dan heb ik 't nog niet over het feit dat als je met thin clients werkt, je zelden tot nooit een browser tot je beschikking hebt als gebruiker zijnde. En beheerders gaan dan ook niet mogelijk maken want dan zit iedereen via de TC op FB en andere zut te doen. Een TC hoeft maar 1 ding te doen: connectie maken met de server waarop gewerkt wordt. Anders wordt het al te moeilijk voor de gebruiker.

[Trommelrem]

Vaxtrian schreef op woensdag 19 december 2018 @ 08:40:
Kan er een password change scherm komen als je met een verlopen password probeert in te loggen op de RDP?
RD Web Access

Waarom voldoet RD Web Access niet? Volgens mij doet het precies wat je wilt:
http://woshub.com/allow-u...cess-windows-server-2012/

Alternatief is om via AzureAD Password Writeback te doen. Of om gewoon geen password changes meer te doen. Password changes zijn niet meer van deze tijd.

Zo zijn er nog duizenden mogelijkheden. Wat verwacht je van ons? Het is beter als je zelf al aangeeft waarom RD Web Access niet voldoet, want dan kunnen wij wellicht beter advies geven voor alternatieven.

[vso]

Hero of Time schreef op woensdag 23 januari 2019 @ 19:55:
@vso, je weet dat je nu antieke en achterhaalde technieken adviseert die alles behalve ondersteund zijn en zeer waarschijnlijk niet gaan werken als je AD functielevel 2012 of hoger is? Daarnaast bestaat er ook nog iets als RDWeb, waar je het ook mee kan zonder te grijpen naar die stenentijdperk middelen?

je reactie mag best positievere insteek hebben of denk je dat je post zeer vriendelijk en netjes overkomt ?

erhm ja dat wist ik, opties hebben is goed, ik zeg niet dat de optie die ik noem de beste is
Ik weet dat het kant en klaar is en werkt, zeker voor linux/mac ois / smartphones .. heb jij het getest onder AD functie level 2012 of hoger .. ik niet dus laten we niet dingen aannemen .. ok ?

en *kuch* een webpagina = webpagina, wat maakt het dan uit pagina x of Y ? dat het meer eyecandy heeft maar als RDweb ook een optie is waarom noem je dat niet meteen in je eerste reactie
laat de optie keuze aan de TS over. als het maar werkt en ik zit hier niet om wie het beste is .. een reactie te posten.

En dan heb ik 't nog niet over het feit dat als je met thin clients werkt, je zelden tot nooit een browser tot je beschikking hebt als gebruiker zijnde. En beheerders gaan dan ook niet mogelijk maken want dan zit iedereen via de TC op FB en andere zut te doen. Een TC hoeft maar 1 ding te doen: connectie maken met de server waarop gewerkt wordt. Anders wordt het al te moeilijk voor de gebruiker.

ik zie vaak genoeg TC's met browser voor bv configuraties (meerdere schermen, koppelen van devices of wifi ..dus een extra button "change password" zal het probleem dan niet zijn. flash/java is wel erg extreem op een TC

Overgens je hoeft geen browser(link) beschikbaar te maken een HTA (web application) kan zich als "programma" manifesteren dat de software via IIS gepubliceerd word is bijzaak

Ander ding als je TC op FB of andere internet pagina's kan dat is toch een design keuze ? ik zou persoonlijk ook niet een voorstander zijn, maar goed dat is een andere discussie

@Trommelrem goed punt je vorige post

[Hero of Time]

Maar had je eigenlijk al gelezen dat de vraag oorspronkelijk een maand geleden is gesteld en de TS dezelfde dag al een oplossing had?