Windows 2012: powiadomienie o kończącej się ważności hasła: co źle zrobiłem, że nie działa ?

Jako początkujący admin nowego serwera próbuję sie zmierzyć z powiadomieniem użytkownika o kończącej się ważności hasła.Na teraz przy domyślnych ustawieniach jest tak, że jak sie hasło skończy, to user poporstu nie ma dostępu do sieci. Chciałbym, żeby było tak:

  1. Na kilak dni przed końcem ważności hasła po zalogowaniu jest komunikat, że hasło skończy się za dni…
  2. Przy próbie logowania po wygaśnięciu hasła pojawi asię monit że hasło straciło ważności i daje się je zmienić.
  3. Jak ustawię, że user po pierwszym logowaniu ma zmienić hasło, to po prostu nie może się zalogować (brak komunikatu o konieczności zmiany hasła, a to do zmiany nie daje dostępu do zasobów)

Odorbiłem lekcję google, i zrobiłem tak:
Dla Default Domanin Controller Pollicy ustawiłem:

  1. Konfiguracja komputera/zasady/ustawienia systemu Windows/ustawienia zabezpieczeń/zasady konta/zasady haseł/maksymalny okres ważności hasła: 30 dni. Minimalny 0 do testu)

  2. Konfiguracja komputera/zasady/ustawienia systemu Windows/ustawienia zabezpieczeń/zasady lokalne/opcje zabezpieczeń/Logowanie interakcyjne: monituj użytkownika o zmianę hasła: 35 dni (do testu, przy ważności hasła 30 dni powinno sygnalizować codziennie)

I nie działa. Co robię źle ? Możliwy jest monit w formie okna dialogowego, czy tylko dymek ?
Nie działa tez jak ustawic “użytkownik musi zmienic hasło”- żadnego monitu, zalogować sie nie można.

OS klienta: win xp, win 10.

Będę bardzo wdzięczny za podpowiedź.
PS.

  1. Czym się rózni ustawienie w: Dla Default Domanin Controller Pollicy
    od ustaweinia w : Dla Default Domanin Pollicy ? Ustawiłem w obu.

  2. Czy ustawienia komputera klienta (np firewall itp) mogą blokować takie powiadomienie ?

Cześć, nie wiem czy dobrze rozumiem, ale wydaje mi się, że ustawiłeś GPO dla kontrolera, a nie dla całej domeny. Przepisz te ustawienia dla Default Domain Policy (polityka nadrzędna) i powinno działać. Wpisując je w Default Domain Controllers Policy ustawiasz te politykę tylko na kontrolerach.

edit: zauważyłem, że ustawiłeś w obu. Możesz podesłać screena z ustawieniami GPO dla Default Domain Policy?
Robiłeś gpupdate?