Bonjour,
 
J'ai un serveur Windows 2019 avec un domaine et AD.
Les utilisateurs avaient jusque là un mot de passe qui n'expirait pas sans politique de longueur ou sécurité.
 
J'ai modifié le defaut domain policy dans la stratégie de groupe comme suit :

 
J'ai fait un gpupdate /force mais pourtant rien n'est demandé sur les postes clients et je comprends pas pourquoi, vous avez une idée svp ?
 
Merci

Il y aurait une commande pour demander l'activation immédiate de la modif des mots de passe sur les postes clients ?

l'attribut le mot de passe n'expire jamais est-il positionné sur les comptes utilisateurs ?

Non il est bien désactivé.
 
Si je change un mot de passe user et que je laisse coché la case "L'utilisateur doit changer le mot de passe à la prochaine ouverture de session", ça fonctionne mais ça m'oblige à changer tous les mdp de tous les users.

ya des chances que tu ais pas trop le choix, après suffit de filtrer que sur les users que tu veux

Ok je vais faire comme ça alors.
 
Merci

J'arrive après la bataille mais tu t'attendais à ce que le système demande à changer le mot de passe des users qui ne respectaient pas la politique de la GPO ?
 
Si c'était le cas ça voudrait dire que le système connait les mots de passe. Or c'est pas le cas. Il ne stocke que des hashes (non réversibles). A très grosses mailles et sans descendre dans la complexité de Kerberos Windows valide des authentifications utilisateur en comparant le hash stocké en SAM ou en NTDS avec le hash que lui envoie le client.
 
Ca veut donc dire que ta politique de mot de passe ne peut s'appliquer que lorsque le mot de passe est effectivement changé, soit par un admin, soit à l'initiative de l'utilisateur, OU quand le mot de passe arrive à expiration selon ta nouvelle politique, mais pas avant. Voilà voilà.
 
Et sinon une raison pour les 30 jours de durée de vie minimale du mot de passe ? En général on préfère plutôt mettre 1 ou 2 jours, mais un historique plus long, c'est généralement suffisant pour suffisament gêner un utilisateur qui voudrait changer X fois son mot de passe pour repasser sur celui qu'il aime bien et qu'il a mis partout.
 
Microsoft dit aussi qu'il vaut mieux changer le mot de passe moins souvent (365 jours de durée max c'est donc pas si mal) mais avoir des mots de passe plus longs, 8 c'est pas énorme. Enfin MS dit surtout qu'il faut passer à autre chose que le mot de passe mais c'est pas forcément possible

Ok merci pour les infos !!