如何将活动目录中的密码更改限制为从“现在”开始的某个时间段

Posted 2023-02-25

【中文标题】如何将活动目录中的密码更改限制为从“现在”开始的某个时间段

【英文标题】：How to restrict password change in an active directory to a certain time period from "now"

【发布时间】：2013-08-21 08:40:47

【问题描述】：

我想不出更好的标题，所以下面是我想在 Active Directory (Windows 2008 R2) 中做的事情：

用户忘记了他的密码，并要求管理员将他的密码设置为一个新的、随机生成的密码。使用这个随机密码，用户再次登录并被提示更改他的密码（通过在设置随机密码时将 pwdLastSet 选项设置为 0）。

到目前为止，一切都很好。

有没有办法强制新的随机密码只在一定时间内有效？我能想出的唯一想法是将 accountExpires 属性设置为“now + n hours”，但这会带来一个问题，即一旦用户在给定时间内合法更改密码，我就必须重置此属性框架，我不知道该怎么做。

这完全可能使用 Windows 功能吗？

【参考方案1】：

如果每个密码都有PasswordExpire 日期字段，则可以使用它。如果你没有，我建议你创建一个。

如果您不想要这种字段，您可以创建一个数据库/文件/您选择的任何其他方式，其中包含临时密码及其到期日期/时间

还有很多其他方法可以做到这一点。您需要决定最适合自己的方案，如果您需要帮助来解决问题，这更像是一个推荐问题。

【讨论】：

我想知道有没有办法用 AD 机制做到这一点，所以这似乎意味着没有。

@Gorgsenegger 我不知道，但我不是专家。也许你应该悬赏……