Datum der letzten Passwortänderung im Active Directory abfragen

Administratoren sollten sich von Zeit zu Zeit einen Überblick verschaffen, wann Anwender das letzte Mal Ihr Kennwort Ihres Active Directory Accounts geändert haben.

Grundsätzlich ist eine regelmäßige Kennwortänderung durchaus sinnvoll, wenn der Anwender auch wirklich sinnvolle Kennwörter vergibt und Kennwörter nicht für unterschiedliche Dienste mehrfach verwendet. Neueste Untersuchungen haben z.B. gezeigt, dass es der Sicherheit nicht unbedingt zuträglich ist, wenn von Anwender im Netzwerk in kurzen Abständen (z.B. 3 Monaten) eine Kennwortänderung abverlangt wird. In diesem Fall verwenden die Anwender mehr oder weniger immer die gleichen Kennwörter und ändern diese nur geringfügig ab, da sich die meisten Anwender die Masse an Kennwörtern überhaupt nicht mehr merken kann. Aber dieses sollte natürlich in der Verantworter der IT-Abteilung oder der Administratoren liegen.

Auf jeden Fall könnt Ihr Euch über die PowerShell eine schnelle Übersicht verschaffen, wann Anwender Ihr Kennwort im AD das letzte Mal geändert haben und ob der Wert für

Passwortneverexpires (Kennwort läuft nicht ab)

auf „False“ gesetzt ist. Damit könnt Ihr erkennen, ob die User überhaupt aufgefordert werden, Ihre Kennwörter in regelmäßigen Abständen zu ändern.

Der Befehl um diese Informationen entsprechend von allen Konten des Active Directorys abzurufen lautet wie folgt.

get-aduser -filter * -properties passwordlastset, passwordneverexpires | ft Name, passwordlastset, Passwordneverexpires

Hier nachfolgend seht Ihr den Befehl und deren Ausgabe exemplarisch abgebildet.

Zusätzlich zum User Kontoname wird das Datum der letzten Passwortänderung mit ausgegeben. In der letzten Spalte wird dann noch für jedes AD Konto ausgegeben, ob das Kennwort des AD-Kontos abläuft oder nicht.