[Win11]Oud wachtwoord terugzetten na ongewenste wijziging

[dion_b]

Mijn vraag
Gisteren kreeg ik onverwacht en ongewenst bij inloggen eis om mijn Windows wachtwoord te wijzigen. Ik kon niet verder zonder dat ik dat deed, dus heb ik het uiteindelijk gedaan. Vervolgens was het niet mogelijk mijn oude wachtwoord terug te zetten.

Relevante software en hardware die ik gebruik
Windows 11 Pro
21H2 build 22000.795
Windows Feature Experience Pack 1000.22000.795.0
Automatic updates aan, meest recente quality update KB5013889 successfully installed on 18/06/2022, definition update KB2267602 successfully installed on 31/07/2022 other update KB890830 successfully installed on 13/07/2022.
x86-64 PC (AMD Ryzen)
Lokaal account, niet aangemeld op domein.

Wat ik al gevonden of geprobeerd heb

Na wat zoekwerk blijkt dat in Win11 password expiration per default aan stond voor mijn (local) useraccount. Met lusrmgr.msc heb ik "Password never expires" aangevinkt en applied. Vervolgens geprobeerd wachtwoord terug te wijzigen naar mijn originele wachtwoord.

Dat lukte niet, ik kreeg de melding: "Unable to update the password. The value provided for the new password does not meet the length, complexity or history requirements of the domain"

OK... met gpedit.msc naar Computer Config - Windows Settiigns - Security Settings - Account Policies - Password policy gegaan.

Ik verwachtte daar bij "Enforce password history" iets te zien staan, maar het staat op "0 passwords remembered"."Password must meet complexity requirements" staat ook Disabled.

Kortom, ik zie niet waar dit gedrag vandaan komt. Vanochtend is daar nog bovenop gekomen dat na reboot de optie "Password never expires" uitgevinked was.

Oh, en mbt waarom ik dit niet wil - ik volg thuis gewoon NCSC richtlijn dat als je al wachtwoorden gebruikt, je ze enkel moet wijzigen bij tekenen van diefstal. Maar bovenal wil ik niet dat mijn PC op vlak van security dingen gaat doen zonder dat ik inzichtelijk heb wat er waarom gebeurt.

[F_J_K]

Ik heb (nog) geen standalone Win 11, dus puur op de gok: kan het zijn dat nog is gekoppeld aan de MS account, dat daar de regels op staan?

(Of "simpelweg" gpupdate /force ?)

[dion_b]

gpupdate /force helpt iig niet.

Ik heb geinstalleerd zonder MS account, dus daar zal het alvast niet vandaan komen.

Wel begin ik te vermoeden dat een te snel weggeklikte popup over mijn zakelijke emailaccount - die ik opzettelijk alleen web-based in MS Edge gebruik - er iets mee te maken kan hebben. Emailaccount in kwestie verscheen in de Mail and Calendar app.

Volgende uitdaging: dat verwijderen. Alles wat ik op dat vlak doe blijft hangen zonder foutmelding:
- in de app zelf de account verwijderen.
- de app resetten.
- de app verwijderen in Apps > Apps & features
- in Powershell met admin get-AppxPackage Microsoft.windowscommunicationsapps | Remove-AppxPackage draaien.

Die laatste geeft: "Deployment operation progress: microsoft.windowscommunicationsapps_16005.14326.20970.0_x64__8wekyb3d8bbwe Initialized " - en doet ook niets meer.

Wat mij hier het meeste frustreert is dat ik nergens kan achterhalen wat er gebeurt. Ik ben gaan struinen in Event Viewer, maar ik vind geen errors of warnings die samenvallen met de hangende operations die ik probeer uit te voeren. _{Wel meerdere warnings over errors op mijn tweede - oude - SSD in het systeem - maar ook die vallen niet samen met probleem waar ik mee zit - dit pak ik even los op...}.

- waar zou ik kunnen zien wat de reden was van het weigeren van mijn voorgestelde wachtwoord (maw welke van de genoemde regels (te kort/onvoldoende speciale tekens/history) is daadwerkelijk het probleem)?
- waar zou ik kunnen zien waarom de Remove-AppxPackage hangt?

[dion_b]

Update: die mail account was het alvast niet.

Heb hier gelezen dat een email account dat niet regulier te verwijderen is, alsnog verwijderd kan worden door in de registry de folder in \HKEY_CURRENT_USER\Software\Microsoft\ActiveSync\Partners te deleten. Dat is gelukt, na reboot is account weg, maar heeft het oorspronkelijke probleem niet verholpen.

Zou dus alsnog erg graag logging willen zien van waarom wijzigpoging mislukt is en/of achterhalen waar de (niet op reguliere plek zichtbare) policy die mij verhindert vandaan komt.

[zetje01]

Al een rsop gedraaid?
(resultant set of policies)

[dion_b]

zetje01 schreef op zaterdag 6 augustus 2022 @ 02:46:
Al een rsop gedraaid?
(resultant set of policies)

Ah, interessant - en tegelijkertijd niet verhelderender.

Volgens Local Security Policy dus Enforce password history op "0 passwords remembered" en Password must meet complexity requirements "disabled". Als ik rsop draai staan alle Password Policy opties op "Not Defined" en staat ook niets bij "Source GPO"

Voor zekerheid gpupdate /force gedraaid, maar nog steeds alles "Not Defined".

[HKLM_]

Type “secpol” in the Windows 10 search bar and click on the resulting applet shown. Click on the Account Policies setting, followed by the Password Policy option

Volgens mij kan je dit ook vanuit de gpedit vinden maar doe eens een dubbel check als je wilt.

Ik denk dat dat zakelijke mail account toch iets gedaan heeft, jij zit het nu vooral te zoeken in de mail app maar het gaat veel dieper. Als ze op het werk MAM policies gebruiken en jij registreert je zakelijke mail op je pc dan worden die MAM policies actief op je systeem.

Kijk eens onder instellingen / Accounts / Werk of school account / of je daar nog je werk account kan vinden.
Je kan ook even de company portal app downloaden uit de store, aanmelden met je werk account en kijken of je je eigen pc daar terug ziet staan. En deze vervolgens verwijderen via deze optie: Remove your device from the Company Portal

[ Voor 59% gewijzigd door HKLM_ op 07-08-2022 16:22 ]

[dion_b]

HKLM_ schreef op zondag 7 augustus 2022 @ 16:15:
[...]


Volgens mij kan je dit ook vanuit de gpedit vinden maar doe eens een dubbel check als je wilt.

Ik denk dat dat zakelijke mail account toch iets gedaan heeft, jij zit het nu vooral te zoeken in de mail app maar het gaat veel dieper. Als ze op het werk MAM policies gebruiken en jij registreert je zakelijke mail op je pc dan worden die MAM policies actief op je systeem.

Kijk eens onder instellingen / Accounts / Werk of school account / of je daar nog je werk account kan vinden.
Je kan ook even de company portal app downloaden uit de store, aanmelden met je werk account en kijken of je je eigen pc daar terug ziet staan. En deze vervolgens verwijderen via deze optie: Remove your device from the Company Portal

De desktop stond inderdaad in Company Portal, maar vermeld als unmanaged en geen access tot company resources. Heb het verwijderd, kreeg bevestiging dat mjin werkgever alle data verwidjerd had, weer gpupdate /force gedaan en... geen verandering. Alles staat in RSoP nog op 'Not Defined' en wachtwoord kan wederom niet veranderd worden.

[zetje01]

Gooi 'm het raam uit!

[HKLM_]

dion_b schreef op zondag 7 augustus 2022 @ 15:33:
[...]

Ah, interessant - en tegelijkertijd niet verhelderender.

Volgens Local Security Policy dus Enforce password history op "0 passwords remembered" en Password must meet complexity requirements "disabled". Als ik rsop draai staan alle Password Policy opties op "Not Defined" en staat ook niets bij "Source GPO"

Voor zekerheid gpupdate /force gedraaid, maar nog steeds alles "Not Defined".

Ik heb zelf een keer iets vergelijkbaars gehad met Windows Halo. Die forceerde een Pin change vanuit mijn werkgever (langere pincode) na het verwijderen van mijn pc bleef de policy wel actief

Uiteindelijk maar een reinstall gedaan