Почему не меняется пароль на Windows Server 2012 R2?
Есть два варианта прохождения авторизации: на стороне клиента и на стороне сервера.
На скрине - авторизация на стороне клиента. Она позволяет ввести логин и пароль, которые потом отправляются на сервер и сервер даёт или не даёт разрешение на запуск сеанса. Других действий этот метод не разрешает. 
Есть вариант - авторизация на стороне сервера. В этом случае пользователь получает доступ к экрану входа в систему spoiler, где после введения логина и пароля, который он должен сменить, пользователь имеет возможность сменить этот самый пароль. В  GPO это настраивается через параметр
Конфигурация компьютера -> Административные шаблоны -> Компаненты Windows -> Службы удалённых рабочих столов -> Узел сеансов удалённых рабочих столов -> Безопасность  ->  Требовать проверку подлинности пользователя для удаленных подключений путем проверки подлинности на уровне сети = Отключна
На локальной машине должно работать также.
Это издержки глупого механизма преаутентификации (как бишь его, "проверка подлинности на уровне сети" который), он проваливается, если пароль у пользователя невалидный. Поэтому этот флаг на терминалах слегка устарел, и действительно не позволяет сменить пароль при первом входе в систему. Вариант обхода - флаг снять и заставить пользователя сменить пароль сразу (извратный метод - выбить его из сессии через час после входа заходом на сервер под его учеткой, если он пароль не сменил, и оштрафовать сразу).