しかし、2番目のサーバーでは、管理者がわずかなショックに直面しています。
すべてのサーバーは「ou =ドメインコントローラー」にあり、同じポリシーが適用されることに注意してください。 コントローラーOS：2008 R2。
これを金曜日の小さななぞなぞにすることを提案します。
政治が何とか適用されなかったという最初の考えは、チームに関する要約データの発行によってすぐに一掃されます
適用されるポリシーのセットは、すべてのコントローラーで同じです。gpresult /R
最後に、道徳はチームが次の事実を損なう。
「アカウントロックアウトポリシー」セクションについては何も言及していません。 同時に、最初のコントローラーに対してgpresult /Z /S ad2
gpresult /Z /S ad1
「アカウントロックアウトポリシー」セクションとすべてのパラメーターをリストします。
コントローラーを確認してください 。 結果に驚くかもしれません 。
最も興味深いのは、政治が機能するということです！ 指定された回数試行して、2番目のコントローラーを介したログインの失敗（LDAPバインドの使用など）を試みると、ユーザーはブロックされます。
コミュニティは、何が起こっているのかという理由のバージョンについてコメントするとともに、ユーザーのブロックポリシーの状態を検証する方法についての提案をお勧めします。
夕方、私はとにかくこの質問に対する答えを提示することを約束します。
UPD。 コメント内の仮定の数とこの投稿への投票から判断すると、このトピックは興味深いものではなく、ADの作品のニュアンスを「引き出す」ことで議論を手配することはできません。 多分私は自分自身のために新しい何かを発見するのは残念だ。
答えを出すと約束したので
2003rdサーバーの制御下にあるドメインコントローラーでは、RSoPがポリシーの一部の設定値を表示しない、つまり次のことを説明するドキュメントKB927908があります。
コンピューターの構成/ Windowsの設定/セキュリティの設定/アカウントポリシー/パスワードポリシーの下のポリシー：
- パスワード履歴を強制する
- パスワードの最大有効期間
- 最低パスワード年齢
- 最小パスワード長
- パスワードは複雑さの要件を満たす必要があります
- ドメイン内のすべてのユーザーに対して、可逆暗号化を使用してパスワードを保存します
[コンピューターの構成] / [Windowsの設定] / [セキュリティの設定] / [アカウントポリシー] / [アカウントロックアウトポリシー]の下のポリシー：
- アカウントのロックアウト期間
- アカウントロックアウトのしきい値
- アカウントロックアウトカウンターをリセットした後
コンピューターの構成/ Windowsの設定/セキュリティの設定/ローカルポリシー/セキュリティオプションの下のポリシー：
- ネットワークセキュリティ：ログオン時間が切れると強制的にログオフする
実際には、2008年と2008 R2の両方のサーバーで説明されている問題を観察しました。
また、PDCエミュレーターの役割なしでドメインコントローラーの現在のポリシーを表示するには、コマンドラインユーティリティを使用できます。
net accounts /domain
DCにポリシーを適用する機能
ユーザーブロックポリシーの機能については、ドメインコントローラーの設定の一部がドメインルートにバインドされたポリシーからのみ適用されるというドキュメントKB259576を読むことも価値があります。 そして、ユーザーのブロックポリシーがこのリストにあります。
ユーザーブロッキングポリシーの適用におけるPDCエミュレーターの特別な役割は何ですか？
まず、ポリシーの実装方法-実際、ユーザーをブロックするための基準を決定する際、DCはドメインオブジェクトの属性からパラメーターを取得します。
したがって、ポリシーを適用するとき、属性のこれらの値は、PDCエミュレーターの役割を持つコントローラーによって設定されます。
これについて面白い探偵物語を読むことができます。
おそらくそれが、RSoPが他のコントローラーにこのポリシーを表示しない理由です-彼らはそれを必要としません-彼らはディレクトリにパラメーターを持っています。