L'utilisateur ne peut pas modifier le mot de passe - Stratégie de groupe Active Directory

Il semble que la stratégie de domaine par défaut impose une complexité de mot de passe minimale - vous devrez probablement modifier la stratégie de groupe si vous souhaitez modifier ce comportement.

De Microsoft :

"Le mot de passe doit respecter les exigences de complexité.

Ce paramètre de stratégie vérifie tous les nouveaux mots de passe pour s'assurer qu'ils répondent aux exigences de base pour des mots de passe forts. Par défaut, la valeur de ce paramètre de stratégie dans Windows Server 2008 est configurée sur Désactivé, mais elle est définie sur Activé dans un domaine Windows Server 2008 pour les deux environnements décrits dans ce guide.

Lorsque ce paramètre de stratégie est activé, les utilisateurs doivent créer des mots de passe forts qui répondent aux exigences minimales suivantes :

Les mots de passe ne peuvent pas contenir le nom de compte de l'utilisateur ou des parties du nom complet de l'utilisateur dépassant deux caractères consécutifs.

Les mots de passe doivent contenir au moins six caractères.

Les mots de passe doivent contenir des caractères de trois des quatre catégories suivantes :

Caractères majuscules anglais (A à Z).

Caractères minuscules anglais (a à z).

Caractères non alphabétiques (par exemple, !, $, #, %).

Chaque caractère supplémentaire dans un mot de passe augmente son niveau de complexité de manière exponentielle.

Par exemple, un mot de passe alphabétique en minuscules de sept caractères aurait 267 (environ 8 x 109 ou 8 milliards) combinaisons possibles.

À 1 000 000 tentatives par seconde (une capacité de nombreuses utilitaires de craquage de mot de passe), il ne faudrait que 133 minutes pour craquer un tel mot de passe.

Un mot de passe alphabétique de sept caractères avec sensibilité à la casse compte 527 combinaisons.

Un mot de passe alphanumérique sensible à la casse de sept caractères sans ponctuation compte 627 combinaisons.

Un mot de passe de huit caractères a 268 (ou 2 x 1 011) combinaisons possibles. Bien que cela puisse sembler être un grand nombre, à 1 000 000 tentatives par seconde, il ne faudrait que 59 heures pour essayer tous les mots de passe possibles.

N'oubliez pas, ces temps augmenteront considérablement pour les mots de passe utilisant des caractères ALT et d'autres caractères spéciaux du clavier tels que "!" ou "@".

L'utilisation correcte des paramètres de mot de passe contribue à prévenir le succès d'une attaque par force brute."

Source : http://technet.microsoft.com/en-us/library/cc264456.aspx

Je vois que vous avez exécuté le RSOP sur le poste de travail. Cela affectera les comptes locaux, mais si le mot de passe qui est modifié est un compte de domaine, il sera validé par le RSOP sur le contrôleur de domaine traitant le changement de mot de passe si je me souviens bien.

De plus, il est possible d'écrire des plugins tiers qui valident la complexité du mot de passe en utilisant l'API Windows. Hitachi ID Systems publie un tel composant (qui interroge un serveur distant pour vérifier si le mot de passe respecte les règles qui y sont définies); lorsque ce type de plugin rejette le mot de passe, cela ressemble à ce qui se passe lorsque la règle de complexité intégrée à Windows 3 sur 4 le rejette. Vous devriez vérifier si vous avez de telles choses dans votre environnement (elles seraient installées sur les contrôleurs de domaine) et si c'est le cas, déterminez ce qui ne va pas avec eux, ou débarrassez-vous en.

Cela dit, étant donné que le fait de forcer un changement de mot de passe résout le problème, il est probable que le problème soit dû à l'application d'une règle d'âge minimum. Vérifiez le RSOP sur le contrôleur de domaine pour cela.

Confirmez que aucune stratégie de mot de passe granulaire n'a été créée ou appliquée pour ce compte utilisateur particulier (si le niveau fonctionnel est à 2008 ou ultérieur). Vérifiez l'attribut msDS-resultantPSO de l'utilisateur, il contient la stratégie de mot de passe granulaire appliquée pour l'utilisateur correspondant. msDS-resultantPSO est un attribut construit. Si l'attribut n'est pas disponible, la stratégie par défaut du domaine est appliquée.