Почему не меняется пароль на Windows Server 2012 R2?

Question

[sazhyk]

Есть терминальный сервер на Windows Server 2012 R2. Без AD. При создании нового пользователя указываю пункт "Требовать смены пароля при следующем входе в систему". Если подключаться к терминальному серверу с Windows 7 и старше , то этот пункт корректно отрабатывает. Спокойно меняю пароль и работаю. Если же подключаться с Windows 8 и младше - то получаю в ответ

ошибку

ЧЯДНТ?
Даже не очень понимаю, как загуглить мою проблему.

Answer 1

[Роман Молчанов]

Есть два варианта прохождения авторизации: на стороне клиента и на стороне сервера.
На скрине - авторизация на стороне клиента. Она позволяет ввести логин и пароль, которые потом отправляются на сервер и сервер даёт или не даёт разрешение на запуск сеанса. Других действий этот метод не разрешает.
Есть вариант - авторизация на стороне сервера. В этом случае пользователь получает доступ к экрану входа в систему

spoiler

, где после введения логина и пароля, который он должен сменить, пользователь имеет возможность сменить этот самый пароль. В GPO это настраивается через параметр
Конфигурация компьютера -> Административные шаблоны -> Компаненты Windows -> Службы удалённых рабочих столов -> Узел сеансов удалённых рабочих столов -> Безопасность -> Требовать проверку подлинности пользователя для удаленных подключений путем проверки подлинности на уровне сети = Отключна
На локальной машине должно работать также.

Answer 2

[Максим Гришин]

Это издержки глупого механизма преаутентификации (как бишь его, "проверка подлинности на уровне сети" который), он проваливается, если пароль у пользователя невалидный. Поэтому этот флаг на терминалах слегка устарел, и действительно не позволяет сменить пароль при первом входе в систему. Вариант обхода - флаг снять и заставить пользователя сменить пароль сразу (извратный метод - выбить его из сессии через час после входа заходом на сервер под его учеткой, если он пароль не сменил, и оштрафовать сразу).

Comments

[sazhyk]

Эта галка была снята. Если я правильно понимаю.

[Максим Гришин]

sazhyk, win8-клиент все равно просит преаутентификацию. Если бы галки не было, win7-клиент тоже не дал бы подключиться. Эта галка только разрешает подключение, а информацию о том, что сервер поддерживает проверку подлинности на уровне сети, он все равно отдает. Клиент на win8 её получает и показывает окно "введите пароль".

[sazhyk]

Максим Гришин, Дык я не очень понял, как сия проблема решается?