Объект групповой политики с максимальным паролем не будет действовать

У нас возникла странная проблема с AD. Мы изменили политику паролей следующим образом:

Принуждать запомнить историю паролей 5 паролей
Максимальный срок действия пароля
120 дней  Минимальный срок действия пароля 1 день
Минимальная длина пароля 8 символов

Эта политика действует с начала января этого года. Тем не менее, наши пользователи по-прежнему должны менять свои пароли каждые 42 дня. Я понимаю, что политика вступает в силу только после изменения вашего пароля. Наши пользователи изменили свои пароли несколько раз с момента изменения.

На сервере, когда я выполняю net accounts, я вижу следующее:

Принудительный выход пользователя через какой срок после истечения времени?:       Никогда
Минимальный срок действия пароля (дни):                          1
Максимальный срок действия пароля (дни):                          120
Минимальная длина пароля:                              8
Длина сохраняемой истории паролей:                5
Порог блокировки:                                    15
Продолжительность блокировки (минуты):                           5
Окно наблюдения блокировки (минуты):                 5
Роль компьютера:                                        ОСНОВНОЙ

Отлично! 120 дней для максимального пароля! Теперь я проверяю конкретного пользователя с помощью net user

Имя пользователя                    Удалено
Полное имя                    Удалено
Комментарий
Комментарий пользователя
Код страны/региона          000 (По умолчанию системы)
Аккаунт активен               Да
Аккаунт истекает              Никогда

Пароль был установлен последний раз            5/5/2015 14:54:35
Срок действия пароля             9/2/2015 14:54:35
Пароль можно изменить          5/6/2015 14:54:35
Пароль требуется            Да
Пользователь может изменить пароль     Да

Разрешенные рабочие станции         Все
Сценарий входа
Профиль пользователя
Домашний каталог
Последний выход                   4/9/2015 16:13:10

Часы входа разрешены          Все

Хорошо, прекрасно! 9/2 – это 120 дней после 5/5! Тем не менее, это типично. До того как этот пользователь изменил свой пароль 5/5, он показывал дату за пределами 5/5 (когда его пароль на самом деле истек).

Сегодня я нашел новый для меня способ проверить срок действия пароля пользователя. Так что я проверяю этого же пользователя с помощью инструмента, который использует Get-ADUserResultantPasswordPolicy для определения MaxPasswordAge (я смог подтвердить, что он идет по пути $accountFGPP -ne $null, запустив вручную Get-ADUserResultantPasswordPolicy. Функция выдает следующее:

Пароль учетной записи: SameUserAsBefore истекает: 06/16/2015 14:54:35

Подождите, что? net user сказал, что пароль не истекает до 9/2! Когда я запустил Get-ADUserResultantPasswordPolicy для этого пользователя, я нашел корень проблемы:

PS C:\Windows\system32> Get-ADUserResultantPasswordPolicy (Get-ADUser SameUserAsBefore -properties PasswordExpired, PasswordNeverExpires, PasswordLastSet)

Применяется к                   : {CN=Domain Users,CN=Users,DC=УДАЛЕНО,DC=LOCAL}
Проверка сложности           : Ложь
DistinguishedName           : CN=Default-#####,CN=Password Settings Container,CN=System,DC=Удалено,DC=LOCAL
LockoutDuration             : 00:30:00
LockoutObservationWindow    : 00:30:00
LockoutThreshold            : 10
MaxPasswordAge              : 42.00:00:00
MinPasswordAge              : 1.00:00:00
MinPasswordLength           : 7
Имя                        : Default-#####
ObjectClass                 : msDS-PasswordSettings
ObjectGUID                  : GUIDУбрано
PasswordHistoryCount        : 3
Precedence                  : 1
ReversibleEncryptionEnabled : Ложь

И вот я, пораженный, почему это 42 дня, несмотря на Групповую политику, которую я установил, которая принудительно применяется на уровне домена. Она настроена на применение к аутентифицированным пользователям. Я попытался удалить это и создать заново, на случай если политика каким-то образом могла испортиться.

У кого-нибудь есть идея, почему групповая политика на самом деле не применяется?

Эта проблема наконец решена! Мне открылся совершенно новый мир Windows Server.

От Mec Beau и отредактировано Excellll:

Создание GPO на OU не сработает для того, что вы пытаетесь сделать. GPO, относящиеся к политикам паролей, могут быть установлены только на уровне домена. Тем не менее, для применения политики к подмножеству пользователей домена вам необходимо использовать детализированные политики паролей.

Их можно применять на уровне групп, поэтому вам нужно убедиться, что все пользователи, на которых вы хотите воздействовать этой новой политикой, являются членами соответствующей группы.

Чтобы сделать это в домене Windows 2012, выполните следующие действия с DC.

1. На начальном экране введите DSAC.EXE для запуска Центра администрирования служб каталогов.
2. Перейдите в контейнер System\Password Settings
3. Щелкните правой кнопкой мыши и выберите Новый или используйте Новый в меню Задачи.
4. Выберите Настройки пароля
5. Создайте новую политику пароля либо для пользователя, либо для группы.
6. Установите ее приоритет на случай, если у вас создано несколько политик, чем ниже число, тем выше приоритет.

Дальше это довольно просто.

Я столкнулся с этой проблемой, и причина заключалась в том, что на уровне OU Domain Controller был заблокированна наследование.

Если там есть блокировка наследования, настройки пароля не будут применяться.

Вы можете проверить это, чтобы прочитать полную статью от Microsoft.

https://support.microsoft.com/en-ie/help/269236/changes-are-not-applied-when-you-change-the-password-policy