Вопрос
При выпуске токена у пользователя в AD не был сгенерирован случайный пароль. Как сделать так, чтобы пароль генерировался при первом входе пользователя на рабочую станцию и оповещал пользователя?
При этом есть ли разница, будет пользователь проходить аутентификацию по спарт-карте(по pin) или по паролю AD?

Ответ
При выпуске токена случайный пароль и не должен генерироваться. Пароль будет сгенерирован при входе пользователя по аутентификатору на рабочую станцию в случае, если:
А) Во вкладке Indeed-Id в ADUC установлена опция "Генерировать случайный пароль учётной записи"
Б) В ADUC также должна быть установлена опция "Сменить пароль при следующем входе в систему"
В) У пользователя обучен аутентификатор (в данном случае он видимо был назначен через TMS)
Г) Парольные политики домена позволяют изменить пароль (т.е. в настройках политик по умолчанию минимальный срок жизни пароля = 1 день, а значит с предыдущей смены пароля должен пройти минимум 1 день)

Ещё раз замечу, что пароль будет сгенерирован при входе пользователя по аутентификатору. При входе по паролю AD - не будет.