Möglichkeiten für die AD-Passwortzurücksetzung

Wenn Active-Directory-Benutzer ihre Domänenpasswörter vergessen oder ablaufen lassen, müssen Admins die Passwörter zurücksetzen. Daher sind Passwörter noch immer eine der häufigsten Gründe für Anfragen an den Helpdesk. Es ist wichtig, dass Passwörter schnell und sicher zurückgesetzt werden. Admins haben verschiedene Möglichkeiten, um das Passwort eines Benutzers zurückzusetzen. Diese sind:

• ADUC-Konsole (Active Directory Users and Computers)
• DSMOD Befehlszeilen-Tool
• PowerShell-Skripte
• Drittanbieter-Tools für das AD-Passwortmanagement

In diesem Artikel sehen wir uns an, wie Sie diese Methoden zum Zurücksetzen von Active-Directory-Passwörtern verwenden können, und welche Methode am besten geeignet ist.

Bevor Sie loslegen

Unabhängig davon, für welche Methode Sie sich entscheiden, benötigen Sie auf jeden Fall die nötigen Berechtigungen in Active Directory zum Zurücksetzen von Benutzerpasswörtern. Dazu müssen Sie entweder der Gruppe „Domänen-Administratoren“ angehören oder Mitglied in der Sicherheitsgruppe „Konto-Operationen“ in Active Directory sein. Wenn Sie das Zurücksetzen von Passwörtern an Helpdesk-Techniker delegieren, können Sie die OE-Delegierungsfunktion in AD verwenden, um die nötigen Berechtigungen zuzuweisen.

Zurücksetzen von Passwörtern über die ADUC-Konsole

Hinweis: Wenn Sie nicht auf den Domänencontroller zugreifen können, installieren Sie RSAT (Remote Server Administration Tools) und aktivieren Sie das Snap-In für ADUC MMC.

1. Melden Sie sich bei einem Computer mit Verbindung zur Domäne an und öffnen Sie die ADUC-Konsole.
2. Suchen Sie das Benutzerkonto, dessen Passwort zurückgesetzt werden soll.
3. Im rechten Bereich klicken Sie anschließend mit der rechten Maustaste auf das Benutzerkonto und wählen „Passwort zurücksetzen“ aus.
4. Geben Sie das neue Passwort ein und drücken Sie die Eingabetaste zur Bestätigung.

Mit ADUC können Sie mehrere Benutzerkonten auswählen und dann ein gemeinsames Passwort für die ausgewählten Benutzer festlegen. Allerdings können Sie nur Benutzer in einer einzigen Organisationseinheit (OE) auswählen und nur ein gemeinsames Passwort für alle ausgewählten Benutzer angeben.

Zurücksetzen von Passwörtern über die Dsmod-Befehlszeile

Dsmod (Directory Service Modification) ist ein Befehlszeilen-Tool, mit dem Sie Directory-Service-Objekte unter Windows Server 2003 bis 2012 ändern können. Es steht zur Verfügung, wenn Sie die Server-Rolle Active Directory Domain Services (AD DS) installiert haben. Auch wenn Dsmod durch PowerShell abgelöst wurde, ist es noch immer ein großartiges Tool, um die Eigenschaften von Benutzerkonten zu ändern – also auch zum Zurücksetzen von Passwörtern.

Um Dsmod zu verwenden, führen Sie den Dsmod-Befehl aus einer Befehlszeile mit erhöhten Berechtigungen heraus aus. Um diese Befehlszeile mit erhöhten Berechtigungen zu starten, klicken Sie auf Start, dann mit der rechten Maustaste auf „Befehlszeile“ und wählen Sie schließlich „Als Administrator ausführen“.

Um das Passwort für John Doe zurückzusetzen und diesen Benutzer zu zwingen, bei der nächsten Anmeldung beim Netzwerk sein Passwort zu ändern, geben Sie Folgendes ein:

DSMOD user "CN=John Doe,CN=Users,DC=mydomain,DC=Com" -pwd A1b2C3d4 -mustchpwd yes

Dieser Befehl erscheint einfach genug, aber Sie müssen den eindeutigen Namen des Benutzers eingeben. Dsmod-Befehle akzeptieren kein „sAMAccountName“. Außerdem wird der Befehl beim Zurücksetzen von Passwörtern mehrerer Benutzerkonten deutlich komplexer und fehleranfälliger.

Zurücksetzen von Passwörtern mit PowerShell-cmdlets

Sie können das PowerShell cmdlet „Set-ADAccountPassword“ verwenden, um Passwortzurücksetzungen durchzuführen. Dieses cmdlet bietet Ihnen den Parameter „-Identity“, der neben dem eindeutigen Namen und der Benutzerobjekt-GUID auch den „sAMAccountName“ eines Benutzerkontos annehmen kann. Um das Passwort eines einzelnen Benutzerkontos zurückzusetzen, führen Sie unten den PowerShell-Befehl aus:

Set-ADAccountPassword –Identity JohnDoe –Reset –NewPassword (ConvertTo-SecureString -AsPlainText "ThisPassword001" -Force)

Auch wenn PowerShell-Skripte sich hervorragend zum Zurücksetzen von Passwörtern eignen, wird das Skript schnell zu komplex, wenn Sie die Passwörter mehrerer Benutzer zurücksetzen möchten.

Zurücksetzen von Passwörtern mit ADSelfService Plus

ADSelfService Plus, ist eine integrierte Lösung zum Zurücksetzen von Passwörtern und für SSO, mit der Benutzer ihre Passwörter selbst zurücksetzen können. Dabei kommen sichere Authentifizierungsmethoden, zum Einsatz, darunter YubiKey Authenticator, Google Authenticator und die biometrische Authentifizierung, um die Identitäten von Benutzern zu bestätigen. Das ist noch nicht alles:

• Benutzer können ihre AD-Passwörter direkt über den Anmeldebildschirm ihrer Windows-, Linux- und macOS-Geräte zurücksetzen, und dank der Android- und iOS-Apps von ADSelfService Plus auch auf ihrem Mobilgerät.
• Die SB-Passwortzurücksetzung und -Kontofreischaltung kann für alle Benutzer in der Domäne oder für bestimmte Benutzer aktiviert werden, indem Sie OE- und gruppenbasierte Richtlinien erstellen.
• Sie können Passwörter auf Komplexität und Compliance prüfen, indem Sie die integrierte Verbesserung von Passwortrichtlinien verwenden. Diese enthält Wörterbuchregeln, eine Musterprüfung und andere Komplexitätseinstellungen, die in AD-Domänenpasswortrichtlinien fehlen.

So können Sie mit ADSelfService Plus die SB-Passwortzurücksetzung für AD-Benutzer aktivieren:

1. Laden Sie ADSelfService Plus herunter und installieren Sie das Tool.
2. Melden Sie sich mit Admin-Zugangsdaten an.

Hinweis: In ADSelfService Plus lauten Benutzername und Passwort standardmäßig jeweils „admin“.

3. Sie werden gebeten, Ihre AD-Domäne zu konfigurieren. Zur Authentifizierung müssen Sie ein Konto angeben, dass in Active Directory über die Berechtigung „Passwort zurücksetzen“ verfügt.
4. Wechseln Sie zu Konfiguration > SB > Richtlinienkonfiguration.

5. Aktivieren Sie das Markierungsfeld „Passwort zurücksetzen“. Klicken Sie dann auf „OEs/Gruppen auswählen“, um die Benutzer auszusuchen, für die Sie diese Funktion aktivieren möchten.
6. Klicken Sie auf „Richtlinie speichern“.
7. Klicken Sie auf „Multifaktor-Authentifizierung“ (unter dem Menü „Richtlinienkonfiguration“).

8. Geben Sie die erforderlichen Methoden zur Multifaktor-Authentifizierung an. Je nachdem, für welche Methoden Sie sich entscheiden, müssen Benutzer die dafür erforderlichen Informationen bei der Registrierung angeben.
9. Registrieren Sie nun Benutzer über Konfiguration > Admin-Tools > Schnelle Registrierung. Sie können Benutzer automatisch registrieren, ihnen eine Benachrichtigung schicken oder Sie dazu zwingen, sich zu registrieren.

Das war‘s! Nachdem die Benutzer registriert sind, können sie ihre eigenen Passwörter zurücksetzen, ohne sich an den Helpdesk zu wenden.