Forzar cambio de contraseña en el próximo inicio de sesión para usuarios de Active Directory

En este artículo, aprenderá cómo configurar o deshabilitar la configuración de cambio de contraseña en el próximo inicio de sesión para cuentas de usuario de Active Directory. Le mostraré cómo cambiar esta configuración con PowerShell y AD Pro Toolkit.
Además, le mostraré cómo forzar el cambio de contraseña en el próximo inicio de sesión para varias cuentas de usuario.

Forzar cambio de contraseña en el siguiente inicio de sesión con PowerShell
En este ejemplo, usaré el cmdlet Set-ADUser PowerShell para configurar la contraseña que se cambiará en el siguiente inicio de sesión.
Paso 1. Abra PowerShell.
Paso 2. Ejecute el siguiente comando. Cambie al nombre de cuenta DN, SID o SAM de la cuenta (nombre de inicio de sesión).
Set-ADUser -Identity <User> -ChangePasswordAtLogon:$true
Si el comando tiene éxito, volverá al mensaje. En el siguiente ejemplo, configuro el cambio de contraseña en el siguiente inicio de sesión para el usuario carlton.wehr usando las cuentas samaccountname.

Opción n.º 2 Forzar el cambio de contraseña en el siguiente inicio de sesión para varias cuentas de usuario
En este ejemplo, usaré AD Pro Toolkit para forzar un cambio de contraseña en el próximo inicio de sesión para varias cuentas de usuario.
Paso 1: Cree un CSV e ingrese las cuentas de usuario que desea cambiar. Puede utilizar el kit de herramientas o PowerShell para exportar usuarios de anuncios a csv.
El csv necesita una columna sAMAccountName y las cuentas de usuario.
Paso 2. Abra la herramienta Modificación masiva de usuarios del kit de herramientas.
Haga clic en Opciones de actualización y establezca la contraseña de cambio en el próximo inicio de sesión en verdadero o falso.
A continuación, seleccione su plantilla csv y haga clic en ejecutar.

Cómo forzar el cambio de contraseña en el próximo inicio de sesión para todos los usuarios

Si tuvo un incidente de seguridad, es posible que deba solicitar a todos los usuarios que cambien su contraseña en el próximo inicio de sesión. Siga los pasos a continuación.

Paso 1. Crea un CSV con una lista de usuarios

Puede exportar todos los usuarios samAccountName con el siguiente comando.

get-aduser -filter * | select samaccountname | export-csv c:\it\all-users.csv

Cree una lista con el kit de herramientas. Haga clic en la herramienta exportar usuarios y haga clic en ejecutar (puede eliminar todas las columnas excepto samAccountName).

Cambie el encabezado sAMaccountName a ID.

Paso 2. Ejecute la herramienta de modificación masiva de usuarios

En Herramientas de administración de usuarios, seleccione "Modificación masiva de usuarios".

Haga clic en Opciones de actualización y seleccione "Cambiar contraseña en el próximo inicio de sesión" y seleccione "Verdadero".

Ahora seleccione el archivo csv y haga clic en ejecutar.

Puede seguir estos mismos pasos para configurar el cambio de contraseña en el próximo inicio de sesión en falso.

Utilice los pasos a continuación para informar y verificar que se haya configurado el cambio de contraseña en el próximo inicio de sesión.

Encuentre usuarios que deben cambiar la contraseña en el próximo inicio de sesión (informe)

Puede utilizar AD Pro Toolkit para ejecutar un informe sobre qué usuarios tienen el valor de cambio de contraseña en el siguiente inicio de sesión establecido en verdadero.

Haga clic en Informes de usuario -> Informes de contraseña -> Usuarios que deben cambiar la contraseña en el próximo inicio de sesión.

Haga clic en ejecutar para generar el informe.

Puede exportar este informe a csv, excel o pdf.

Cambiar contraseña en el siguiente informe de estado de inicio de sesión con PowerShell

Aunque puede usar el cmdlet Set-ADUser para establecer el valor ChangePasswordAtLogon, no existe ningún cmdlet de PowerShell para consultar este valor.

Una opción es verificar el valor de PasswordLastSet. Cuando una cuenta está configurada para cambiar la contraseña en el siguiente inicio de sesión, este atributo se establece en 0. El único inconveniente es que este atributo también se puede establecer en 0 si la cuenta no tiene una contraseña establecida. Sin embargo, esto puede ser útil, ya que probablemente no desee ninguna cuenta sin contraseña.

Get-ADUser -Properties PasswordLastSet -Filter "PasswordLastSet -eq '0'" | select name, PasswordLastSet

En la captura de pantalla a continuación puede ver que el valor de PasswordlastSet está en blanco.

El usuario debe cambiar la contraseña en el próximo inicio de sesión en ADUC

Puede verificar manualmente una sola cuenta con la herramienta Usuarios y computadoras de Active Directory.

Abra una cuenta de usuario y haga clic en la pestaña "Cuenta". Debajo de las opciones de la cuenta, verá la opción "El usuario debe cambiar la contraseña en el próximo inicio de sesión". Si está marcado entonces está habilitado.

También te puede interesar:

Obtener la fecha de vencimiento de la contraseña de los usuarios
Verifique la fecha del último cambio de contraseña
Obtener lista de usuarios con contraseña nunca caduca