Niyə domen noutbuku köhnə şifrəni oflayn qəbul edir

Şifrə dəyişikliyi hər yerə eyni anda çatır — yalnız bir həftə oflayn olmuş həmin bir noutbuka çatmır. Veb-poçt yeni şifrəni qəbul edir, ofisdəki masaüstü kompüter onu qəbul edir, uzaq maşın isə VPN söndüyü zaman hələ də köhnə şifrə ilə daxil olur. Bu nə ikinci şifrədir, nə də kataloqda sinxronizasiya xətasıdır. Bu, keşlənmiş giriş təsdiqləyicisinin öz işini görməsidir və həll yenidən qurma deyil, ardıcıllıqdır.

Noutbuk keşlənmiş təsdiqləyicini yoxlayır

Domenə qoşulmuş Windows son uğurlu interaktiv girişlər üçün yerli təsdiqləyici saxlayır ki, heç bir domen nəzarətçisi cavab vermədikdə maşın işə düşə bilsin. Bu təsdiqləyici həmin giriş anındakı şifrədən törədilir. Şifrəni başqa yerdə dəyişmək kataloqu yeniləyir, lakin o vaxtdan bəri onunla danışmayan noutbukdakı surəti yox.

Yəni köhnə şifrə yerli sessiyanı hələ də aça bilər, halbuki istənilən yeni domen autentifikasiyası üçün etibarsızdır. Bunlar iki fərqli müşahidədir və onları qarışdırmaq təkrar-təkrar şifrə sıfırlamasına gətirib çıxarır.

Başqa heç nəyi dəyişməzdən əvvəl hansı etimadnamənin həqiqətən işlədiyini təsdiqləyin. Windows Hello PIN-i, Entra ID ilə giriş və ənənəvi domen şifrəsi ayrı mexanizmlərdir və xüsusilə PIN domen şifrəsi deyil, hətta eyni masaüstünü açsa belə.

Şəbəkə autentifikasiyası interaktiv giriş deyil

Fayl paylaşımını yeni şifrə ilə açmaq şəbəkə yolunun işlədiyini sübut edir. Lakin bu, interaktiv giriş keşini yeniləmir, çünki Windows şəbəkə və interaktiv autentifikasiyanı ayrı vəziyyətləri olan ayrı əməliyyatlar kimi qəbul edir.

Təsdiqləyici yalnız interaktiv giriş həqiqətən domen nəzarətçisinə müraciət etdikdə yenilənir; qoşulmuş disk və ya Outlook sorğusu bunu etmir.

Bu fərq adi şikayəti izah edir: istifadəçi poçtu oxuya və intraneti aça bilir, amma kilid ekranı hələ də köhnə şifrəni istəyir. Bu həm də izah edir ki, girişdən sonra başladılan VPN ilkin girişə kömək edə bilməz, çünki tunel qərar artıq yerli olaraq verildikdən sonra gəlir.

Düzgün anda bir onlayn giriş əldə edin

Keş istifadəçi domen əlçatan olanda interaktiv giriş etdikdə yenilənir. Uzaq maşın üçün bu o deməkdir ki, tunel etimadnamə qiymətləndirilməzdən əvvəl mövcud olmalıdır, masaüstü göründükdən sonra yox.

Yerləşdirmənin girişdən əvvəl qoşulma və ya cihaz tunelini dəstəkləyib-dəstəkləmədiyini yoxlayın. Bunlar məhz bu zamanlama üçün nəzərdə tutulub və istifadəçi tuneli onların əvəzi deyil:

nltest /dsgetdc:corp.example
klist

Son nöqtənin girişdən əvvəl yolu yoxdursa, təşkilatın sənədləşdirdiyi dəstəklənən bərpa prosesindən istifadə edin. Bəzi mühitlər tuneli kilid ekranında açıq saxlayaraq qoşulma, kilidləmə və açma ardıcıllığından istifadə edir; digərləri cihazı idarə olunan bərpa addımına göndərir. Müştəriyə uyğun olanı izləyin və etibar etməzdən əvvəl tunelin kilid ekranından keçdiyini təsdiqləyin.

Geri dönüş yolunu qoruyun

Uzaq maşının sessiyasını bağlamazdan əvvəl növbəti girişin domenə necə çatacağına qərar verin. Sessiya ilə birlikdə düşən istifadəçi tuneli güvəndiyiniz yeganə yolu silə bilər və sonra nə köhnə, nə də yeni şifrə sizi kilid ekranından keçirər. Ehtiyat variant kimi yerli inzibati hesab və ya zolaqdan kənar konsol saxlayın. Bərpa addımını istifadəçinin giriş etmədən çatacağı yerdə yazın.

Dəstək üçün dörd faktı toplayın: şifrə harada dəyişdi, hansı etimadnamə oflayn hələ işləyir, domen nəzarətçisi tuneldən əlçatandırmı və noutbuk hansı giriş metodundan istifadə edir.

Bu dörd köhnəlmiş təsdiqləyicini hesab blokundan və ya rədd edilmiş VPN girişindən ayırır, hansı ki biletdə oxşar görünür və fərqli həlləri var. Bloklanmış hesab yeni şifrəni onlayn da rədd edəcək, ona görə keşi günahlandırmazdan əvvəl bunu yoxlayın.

Dövrəni bir onlayn girişlə bağlayın

Məqsəd domen əlçatan ikən bir dəstəklənən interaktiv giriş və ardınca məlum oflayn vəziyyətdir. Həmin tək hadisə təsdiqləyicini yeniləyir və şifrənin hər cihazda dəyişdirilməsi dövrünü bitirir.

Sonra vəziyyəti keşlənmiş giriş sayı və domen nəzarətçisi axtarışı ilə yoxlayın:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Say sıfırdırsa, keşlənmiş giriş siyasətlə söndürülüb və şifrə nə qədər sıfırlansa da oflayn davranış dəyişməyəcək. Bu, sahibi ilə qaldırılmalı siyasət qərarıdır, yerli olaraq tətbiq ediləcək bir yan yol deyil.