На самом деле, у krbtgt есть политика протухания пароля, но она применима только к активным учетным записям, которые умеют логиниться. krbtgt дезактивирована и никуда не логинится, поэтому эта политика на неё не распространяется
Вот только вопрос был не про "протухание". Нужно именно автоматическая смена пароля, раз в месяц например. И почему они до сих пор этого не сделали решительно не понятно!
Эксперименты с Golden Ticket