Comment changer le mot de passe initial a la 1ere connexion a un bureau distant (rdp)

Question

Bonjour,

Je rencontre une problématique très gênante dans un environnement Windows Server 2022.

Mes utilisateurs sont créés dans l'AD avec, comme recommandé par l'ANSI, "l'utilisateurs doit changer son mot de passe".

Lorsque j'essaye ensuite de me connecter via une connexion bureau a distance sur un serveur RDS, une fenêtre bloquante m'informe que le mot de passe doit être changer (OK...), mais sans aucune possibilité de le faire !!.

Il est hors de question que ce soit l'administrateur qui change ce mot de passe (ou désactive dans l'AD le changement du mot de passe a la 1ere connexion), qui ne doit être connu que de l'utilisateurs et lui seul.....

Comment faire ??

Merci d'avance

Answer 1

Bonjour,

Est-ce que le compte de session sur le poste local et le compte de connexion en rdv sont les mêmes ? Sont-ils sur le même domaine ? Avez-vous mis en place un portail web RDS afin de reset le mot de passe?

Vous pouvez désactiver temporairement le NLA (Network Level Authentification) sur la machine cible afin que les utilisateurs se connectent et changent leur mot de passe. Par contre, cela baisse le niveau de sécurité et il faudra le réactiver en suivant.

Bien à vous,

Answer 2

Bonjour Bertrand,

Si tu souhaites mettre en oeuvre la solution proposée par Anthony, voici les étapes à suivre :

1 - Désactiver Network Level Authentication (NLA) sur le service RDP de la machine cible.

2 - Créer un fichier .rdp pointant vers la machine cible, l’ouvrir avec le Bloc-notes et ajouter la ligne suivante à la fin du fichier : enablecredsspsupport:i:0

Comme l’a souligné Anthony, cette modification réduit le niveau de sécurité de la connexion RDP. À prendre en compte avant toute mise en production.

À titre d’alternative, chez certains clients nous utilisions une interface web d’applications tierces (par exemple l’interface web Citrix) qui gère l’expiration des mots de passe et permet le reset des comptes tier-1 ou tier-2. Cela peut parfois éviter de modifier les paramètres RDP directement.

As-tu envisagé de mettre en place l’envoi automatique d’un e-mail avant l’expiration des mots de passe des comptes concernés ? Cela permettrait de réduire le nombre d’utilisateurs pris au dépourvu par l’expiration de leur mot de passe.

Excellente journée à toi,

Cordialement,

Guillaume Bachou

Answer 3

Je suis preneur d'une solution également, c'est vraiment pénible de ne pas pouvoir changer le mot de passe autrement que sur un PC membre du domaine. (J'ai des utilisateurs qui n'ont que des clients légers à disposition.)

Surtout que ce problème devient récurent si les utilisateurs ne changent pas leur mot de passe quand leur session fonctionne encore.