Hoekom ’n domeinskootrekenaar die ou wagwoord vanlyn aanvaar

’n Wagwoordverandering beland oral op dieselfde oomblik, behalwe op die een skootrekenaar wat ’n week lank vanlyn was. Webpos neem die nuwe wagwoord, ’n lessenaar in die kantoor neem dit, en die afgeleë masjien meld steeds met die ou een aan wanneer die VPN af is. Dit is nie ’n tweede wagwoord nie, en ook nie ’n sinchroniseringsfout in die gids nie. Dit is die gekaste aanmeldingsverifieerder wat doen waarvoor dit ontwerp is, en die oplossing is ’n reeks stappe, nie ’n herstelling nie.

Die skootrekenaar kontroleer ’n gekaste verifieerder

Domein-aangeslote Windows hou ’n plaaslike verifieerder vir onlangse suksesvolle interaktiewe aanmeldings, sodat die masjien kan begin wanneer geen domeinbeheerder antwoord nie. Daardie verifieerder word afgelei van die wagwoord soos dit op daardie aanmelding gestaan het. Om die wagwoord elders te verander, werk die gids by, nie die kopie op ’n skootrekenaar wat sedertdien nie met hom gepraat het nie.

Die ou wagwoord kan dus steeds die plaaslike sessie oopmaak terwyl dit ongeldig is vir enige nuwe domeinverifikasie. Dit is twee verskillende waarnemings, en om hulle te verwar lei tot herhaalde herstellings.

Bevestig watter geloofsbrief eintlik in spel is voordat jy iets anders verander. ’n Windows Hello-PIN, ’n Entra ID-aanmelding en ’n tradisionele domeinwagwoord is afsonderlike meganismes, en veral die PIN is nie die domeinwagwoord nie, selfs wanneer dit dieselfde lessenaar ontsluit.

Netwerkverifikasie is nie interaktiewe aanmelding nie

Om ’n lêerdeling met die nuwe wagwoord oop te maak, bewys dat die netwerkpad werk. Dit verfris nie die interaktiewe aanmeldingskas nie, want Windows behandel netwerk- en interaktiewe verifikasie as afsonderlike bewerkings met afsonderlike toestand.

Die verifieerder verfris net wanneer ’n interaktiewe aanmelding werklik ’n domeinbeheerder kontak; ’n gekarteerde skyf of ’n Outlook-versoek doen dit nie.

Daardie onderskeid verduidelik die gewone rapport: die gebruiker kan e-pos lees en die intranet oopmaak, maar die sluitskerm wil nog die ou wagwoord hê. Dit verduidelik ook waarom ’n VPN wat ná aanmelding begin, nie die aanvanklike aanmelding kan help nie, want die tonnel kom nadat die besluit reeds plaaslik geneem is.

Kry een aanlyn aanmelding op die regte oomblik

Die kas verfris wanneer die gebruiker interaktief aanmeld terwyl die domein bereikbaar is. Vir ’n afgeleë masjien beteken dit die tonnel moet bestaan voordat die geloofsbrief geëvalueer word, nie nadat die lessenaar verskyn nie.

Kontroleer of die ontplooiing vooraanmeldingsverbinding of ’n toesteltonnel ondersteun. Dié is vir hierdie tydsberekening ontwerp, en ’n gebruikerstonnel is nie ’n plaasvervanger nie:

nltest /dsgetdc:corp.example
klist

As die eindpunt geen vooraanmeldingsroete het nie, gebruik watter ondersteunde herstelproses die organisasie ook al dokumenteer. Sommige omgewings gebruik ’n verbind-, sluit- en ontsluitreeks met die tonnel oopgehou by die sluitskerm; ander stuur die toestel na ’n bestuurde herstelstap. Volg dié een wat by die kliënt pas, en bevestig dat die tonnel die sluitskerm oorleef voordat jy daarop staatmaak.

Beskerm die pad terug in

Voordat jy by ’n afgeleë masjien afmeld, besluit hoe die volgende aanmelding die domein sal bereik. ’n Gebruikerstonnel wat saam met die sessie val, kan die enigste pad verwyder waarop jy gereken het, en dan kry nóg die ou nóg die nuwe wagwoord jou verby die sluitskerm. Hou ’n plaaslike administratiewe rekening of ’n buitebandse konsole as die terugval. Skryf die herstelstap neer waar die gebruiker dit kan bereik sonder om aan te meld.

Versamel vir ondersteuning vier feite: waar die wagwoord verander is, watter geloofsbrief nog vanlyn werk, of ’n domeinbeheerder deur die tonnel bereikbaar is, en watter aanmeldmetode die skootrekenaar gebruik.

Daardie vier skei ’n verouderde verifieerder van ’n rekeningblokkering of ’n verwerpte VPN-aanmelding, wat in ’n kaartjie eenders lyk en verskillende oplossings het. ’n Geslote rekening sal die nuwe wagwoord ook aanlyn verwerp, so toets dit voordat jy die kas blameer.

Sluit die kring met een aanlyn aanmelding

Die doel is een ondersteunde interaktiewe aanmelding terwyl die domein bereikbaar is, gevolg deur ’n bekende vanlyn toestand. Daardie enkele gebeurtenis verfris die verifieerder en beëindig die siklus van die wagwoord op elke toestel verander.

Verifieer die toestand daarna met die gekaste aanmeldingtelling en ’n domeinbeheerder-soektog:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

As die telling nul is, is gekaste aanmelding deur beleid afgeskakel en sal die vanlyn gedrag nie verander nie, maak nie saak hoe dikwels die wagwoord herstel word nie. Dit is ’n beleidsbesluit om met die eienaar op te neem, nie ’n omweg om plaaslik toe te pas nie.