La opción “El usuario debe cambiar de contraseña en el siguiente inicio de sesión” suele estar habilitada cuando se crea un nuevo usuario de Active Directory, cuando el administrador restablece la contraseña del usuario (cuando el usuario ha olvidado su contraseña o la contraseña se ha visto comprometida).
Puede habilitar la opción “El usuario debe cambiar la contraseña en el próximo inicio de sesión” utilizando la consola ADUC (Directorio activo de usuarios y computadoras)
- Lanza el dsa.msc snap-in;
- Encuentra al usuario del dominio y abre sus propiedades;
- Ir a la pestaña Cuenta y habilitar la opción ” El usuario debe cambiar la contraseña en el próximo inicio de sesión ” en la sección Opciones de la cuenta ;
- Guarda los cambios haciendo clic en OK.
Esta opción también está activada por defecto cuando se crea un nuevo usuario de AD usando el asistente gráfico de ADUC (New> User).
Al restablecer la contraseña del usuario, el operador de la cuenta del dominio también puede activar o desactivar la opción de restablecimiento de la contraseña.
También puede habilitar la opción “El usuario debe cambiar la contraseña en el próximo inicio de sesión” usando PowerShell. Para ello, utilice los cmdlets Get-ADUser y Set-ADUser del módulo AD PowerShell . Para el nombre de usuario, especifica el valor del atributo samAccountName :
Módulo de importación ActiveDirectory Get-ADUser -identity jsanti | Set-ADUser -ChangePasswordAtLogon $true
Puede habilitar el atributo ChangePasswordAtLogon para todos los usuarios en el OU específico:
Get-ADUser -Filter * -SearchBase "OU=Users,OU=California.OU=USA,DC=theitbros,DC=com"| Set-ADUser -ChangePasswordAtLogon:$True
Cuando se crean nuevos usuarios en la EA usando el cmdlet PowerShell New-ADUser, también se puede habilitar este atributo (ver el ejemplo en el artículo https://theitbros.com/import-users-into-active-directory-from-csv/ )
Si esta opción está habilitada para la cuenta de usuario, entonces la próxima vez que el usuario inicie sesión en cualquier computadora o servidor del dominio después de introducir la contraseña, aparecerá una notificación:
LEER TAMBIÉN la Guía para la copia de seguridad del registro de transacciones del servidor SQL
La contraseña del usuario debe cambiarse antes de iniciar la sesión
El usuario debe hacer clic en OK, y en el siguiente formulario especificar una nueva contraseña y la confirmación.
Si el usuario se niega a cambiar la contraseña, no podrá iniciar sesión en el ordenador del dominio con la contraseña antigua hasta que la cambie.
Si desea restablecer la contraseña del usuario de AD, pero en la ventana de restablecimiento de la contraseña la opción “El usuario debe cambiar la contraseña en el próximo inicio de sesión” está en gris, compruebe lo siguiente:
-
Asegúrate de que la opción ” Contraseña nunca caduca ” no esté activada en las propiedades del usuario en la pestaña Cuenta . Si está activada, desmarca la opción y haz clic en OK;
-
Asegúrate de que tu cuenta tiene suficientes permisos para restablecer la contraseña de este usuario. Para ello, en las propiedades de usuario de la consola ADUC, ve a la pestaña Seguridad> Avanzado> Acceso efectivo . Haz clic en el botón Selecciona un usuario y especifica el nombre de tu cuenta (en la que se delegan los permisos de restablecimiento de contraseña) y haz clic en el botón Ver acceso efectivo
-
Asegúrate de que tienes ResetPassword y Write userAccountControl (o Write Account Restrictions ) permisos.
Si su cuenta no tiene los permisos anteriores para restablecer la contraseña, deberá delegar estos permisos en una cuenta con derechos de administrador de dominio. Haga clic con el botón derecho del ratón en el OU donde se encuentra el usuario y seleccione Delegar control .
LEER TAMBIÉN Cómo eliminar el usuario de AD usando PowerShell?
En el Asistente de delegación de control , especifique el usuario o grupo en el que desea delegar los permisos y en el siguiente paso (Tareas a delegar) seleccione Restablecer las contraseñas de los usuarios y forzar el cambio de contraseña en el siguiente inicio de sesión . Haga clic en Next> Finish.
Si los permisos no aparecieron ni siquiera después de eso, compruebe que la herencia está habilitada en las propiedades del usuario al que desea habilitar la opción de cambio de contraseña. Abre las propiedades del usuario> Seguridad> botón Avanzado> si el botón Habilitar la herencia está disponible, haz clic en él y OK.
