Где в политике AD (Windows Server 2016) задается возможность разрешения смены пароля учетной записи пользователя при подключении через RDP?

Question

[UlarSur]

Ниже скрин. При созданием учетных записей мы воспользовались скриптом в котором уже прописана галочка изменения пароля сразу после входа пользователя. Но она работает только при подключении пользователя через физическую машину, но если пользователь пользуется RDP и терминальной машиной он не дает возможность изменения. Можно ли такую возможность предоставить через GPO если да то где ? Я пытаюсь нагуглить, но что - то не получается..

Answer 1

[Роман Безруков]

дополню ответ Alexey Dmitriev ссылками:
RDP Перед первым входом в систему необходимо смени...
Смена истекшего пароля через Remote Desktop Web Ac...
Как изменить пароль в RDP сессии Windows?

Answer 2

[Alexey Dmitriev]

Нужно отключить Network Level Authentication на сервере, где нужно разрешить менять пароль

Comments

[pindschik]

Если сервер открыт в интернет - то это будет плохой затеей - поскольку каждый сможет подключаться к консоли сервера, а это расширяет диапазон атаки.

Answer 3

[pindschik]

В случае с терминалом правильнее не разрешать менять пароль ДО подключения (а после - можно и на терминале, просто не Ctrl+Alt+Del, а Ctrl+Alt+End).
Правильнее прикрутить двухфакторную авторизацию и передавать начальный пароль вместе с настройками двухфакторной авторизации так, чтоб исключить доступ к ним неблагонадежных лиц.