Чаму ноўтбук у дамене прымае стары пароль без сеткі

Змена пароля даходзіць усюды адначасова, акрамя аднаго ноўтбука, які тыдзень быў без сеткі. Вэб-пошта прымае новы пароль, настольны камп'ютар у офісе прымае яго, а аддаленая машына ўсё яшчэ ўваходзіць са старым, калі VPN не працуе. Гэта не другі пароль і не памылка сінхранізацыі ў каталогу. Гэта кэшаваны правяральнік уваходу робіць тое, для чаго ён створаны, і выпраўленне — гэта паслядоўнасць дзеянняў, а не скід.

Ноўтбук правярае кэшаваны правяральнік

Windows, далучаны да дамена, захоўвае лакальны правяральнік для нядаўніх паспяховых інтэрактыўных уваходаў, каб машына магла загрузіцца, калі ніводзін кантролер дамена не адказвае. Гэты правяральнік выводзіцца з пароля такім, якім ён быў на момант таго ўваходу. Змена пароля ў іншым месцы абнаўляе каталог, але не копію на ноўтбуку, які з таго часу з ім не звязваўся.

Такім чынам, стары пароль усё яшчэ можа адкрыць лакальны сеанс, хоць ён несапраўдны для любой новай аўтэнтыфікацыі ў дамене. Гэта два розныя назіранні, і іх змешванне вядзе да паўторных скідаў.

Перад любымі іншымі зменамі ўдакладніце, якія менавіта ўліковыя даныя выкарыстоўваюцца. PIN Windows Hello, уваход праз Entra ID і традыцыйны пароль дамена — гэта асобныя механізмы, і менавіта PIN не з'яўляецца паролем дамена, нават калі ён разблакіроўвае той жа працоўны стол.

Сеткавая аўтэнтыфікацыя — гэта не інтэрактыўны ўваход

Адкрыццё сеткавага рэсурсу з новым паролем даказвае, што сеткавы шлях працуе. Але яно не абнаўляе кэш інтэрактыўнага ўваходу, бо Windows разглядае сеткавую і інтэрактыўную аўтэнтыфікацыю як асобныя аперацыі з асобным станам.

Правяральнік абнаўляецца толькі тады, калі інтэрактыўны ўваход сапраўды звяртаецца да кантролера дамена; падключаны дыск або запыт Outlook гэтага не робяць.

Гэтае адрозненне тлумачыць звычайную скаргу: карыстальнік можа чытаць пошту і адкрываць інтранэт, але экран блакіроўкі ўсё яшчэ патрабуе стары пароль. Яно таксама тлумачыць, чаму VPN, запушчаны пасля ўваходу, не можа дапамагчы пачатковаму ўваходу, бо тунель з'яўляецца пасля таго, як рашэнне ўжо прынята лакальна.

Атрымайце адзін анлайн-уваход у патрэбны момант

Кэш абнаўляецца, калі карыстальнік уваходзіць інтэрактыўна, пакуль дамен даступны. Для аддаленай машыны гэта значыць, што тунель павінен існаваць да праверкі ўліковых даных, а не пасля з'яўлення працоўнага стала.

Праверце, ці падтрымлівае разгортванне падключэнне да ўваходу або тунель прылады. Яны створаны менавіта для такога моманту, і карыстальніцкі тунель іх не замяняе:

nltest /dsgetdc:corp.example
klist

Калі на канцавым пункце няма шляху да ўваходу, выкарыстоўвайце любы падтрыманы працэс аднаўлення, які дакументуе арганізацыя. Некаторыя асяроддзі выкарыстоўваюць паслядоўнасць «падключыцца, заблакіраваць і разблакіраваць» з тунелем, які ўтрымліваецца адкрытым на экране блакіроўкі; іншыя адпраўляюць прыладу на кіраваны крок аднаўлення. Ідзіце па тым, што адпавядае кліенту, і перад тым як спадзявацца на тунель, пераканайцеся, што ён перажывае экран блакіроўкі.

Абараніце шлях вяртання

Перш чым выйсці з аддаленай машыны, вырашыце, як наступны ўваход дабярэцца да дамена. Карыстальніцкі тунель, які падае разам з сеансам, можа забраць адзіны шлях, на які вы разлічвалі, і тады ні стары, ні новы пароль не дапаможа прайсці экран блакіроўкі. Трымайце лакальны адміністрацыйны ўліковы запіс або пазапалосную кансоль як запасны варыянт. Запішыце крок аднаўлення там, дзе карыстальнік зможа да яго дабрацца без уваходу.

Для падтрымкі сабярыце чатыры факты: дзе змяніўся пароль, якія ўліковыя даныя ўсё яшчэ працуюць без сеткі, ці даступны кантролер дамена праз тунель і які спосаб уваходу выкарыстоўвае ноўтбук.

Гэтыя чатыры аддзяляюць састарэлы правяральнік ад блакіроўкі ўліковага запісу або адхіленага ўваходу праз VPN, якія ў заяўцы выглядаюць падобна, але маюць розныя выпраўленні. Заблакіраваны ўліковы запіс адхіліць новы пароль і анлайн, таму праверце гэта, перш чым вінаваціць кэш.

Замкніце цыкл адным анлайн-уваходам

Мэта — адзін падтрыманы інтэрактыўны ўваход, пакуль дамен даступны, а затым вядомы стан без сеткі. Гэта адзіная падзея абнаўляе правяральнік і спыняе цыкл змены пароля на кожнай прыладзе.

Пасля гэтага праверце стан праз колькасць кэшаваных уваходаў і пошук кантролера дамена:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Калі колькасць роўная нулю, кэшаваны ўваход адключаны палітыкай, і паводзіны без сеткі не зменяцца, колькі б разоў ні скідвалі пароль. Гэта палітычнае рашэнне, якое трэба ўзняць перад уладальнікам, а не абыходны шлях для лакальнага прымянення.