Per què un portàtil de domini accepta la contrasenya antiga sense connexió

Un canvi de contrasenya arriba a tot arreu alhora, excepte a l'únic portàtil que ha estat una setmana sense connexió. El correu web accepta la contrasenya nova, un escriptori de l'oficina també, i la màquina remota encara inicia sessió amb l'antiga quan la VPN està caiguda. No és una segona contrasenya ni un error de sincronització del directori. És el verificador d'inici de sessió en memòria cau fent la seva feina, i la solució és una seqüència, no un restabliment.

El portàtil comprova un verificador en memòria cau

El Windows unit al domini desa un verificador local per als inicis de sessió interactius recents que han tingut èxit, perquè la màquina pugui arrencar quan cap controlador de domini respon. Aquest verificador es deriva de la contrasenya tal com era en aquell inici de sessió. Canviar la contrasenya en un altre lloc actualitza el directori, però no la còpia d'un portàtil que no hi ha parlat des de llavors.

Per tant, la contrasenya antiga encara pot obrir la sessió local tot i ser invàlida per a qualsevol autenticació de domini nova. Són dues observacions diferents, i barrejar-les porta a restabliments repetits.

Confirmeu quina credencial s'utilitza realment abans de canviar res més. Un PIN de Windows Hello, un inici de sessió amb Entra ID i una contrasenya de domini tradicional són mecanismes separats, i el PIN en particular no és la contrasenya del domini encara que desbloquegi el mateix escriptori.

L'autenticació de xarxa no és un inici de sessió interactiu

Obrir un recurs compartit amb la contrasenya nova demostra que el camí de xarxa funciona. No refresca la memòria cau de l'inici de sessió interactiu, perquè el Windows tracta l'autenticació de xarxa i la interactiva com a operacions separades amb estat separat.

El verificador només es refresca quan un inici de sessió interactiu contacta realment amb un controlador de domini; una unitat mapada o un avís de l'Outlook no ho fan.

Aquesta distinció explica l'informe habitual: l'usuari pot llegir el correu i obrir la intranet, però la pantalla de bloqueig encara demana la contrasenya antiga. També explica per què una VPN engegada després de l'inici de sessió no pot ajudar l'inici inicial, ja que el túnel arriba quan la decisió ja s'ha pres localment.

Aconseguiu un inici de sessió en línia en el moment adequat

La memòria cau es refresca quan l'usuari inicia sessió de manera interactiva mentre el domini és abastable. En una màquina remota, això vol dir que el túnel ha d'existir abans que s'avaluï la credencial, no després que aparegui l'escriptori.

Comproveu si el desplegament admet connectivitat prèvia a l'inici de sessió o un túnel de dispositiu. Estan dissenyats per a aquest moment, i un túnel d'usuari no els substitueix:

nltest /dsgetdc:corp.example
klist

Si el punt final no té cap camí previ a l'inici de sessió, feu servir el procés de recuperació compatible que documenti l'organització. Alguns entorns utilitzen una seqüència de connectar, bloquejar i desbloquejar amb el túnel obert a la pantalla de bloqueig; d'altres envien el dispositiu a un pas de recuperació gestionat. Seguiu el que correspongui al client i, abans de confiar-hi, confirmeu que el túnel sobreviu a la pantalla de bloqueig.

Protegiu el camí de tornada

Abans de tancar la sessió d'una màquina remota, decidiu com arribarà el pròxim inici de sessió al domini. Un túnel d'usuari que cau amb la sessió pot eliminar l'únic camí amb què comptàveu, i llavors ni la contrasenya antiga ni la nova us faran passar la pantalla de bloqueig. Manteniu un compte administratiu local o una consola fora de banda com a alternativa. Escriviu el pas de recuperació on l'usuari hi pugui arribar sense iniciar sessió.

Per a suport, recolliu quatre fets: on s'ha canviat la contrasenya, quina credencial encara funciona sense connexió, si un controlador de domini és abastable pel túnel i quin mètode d'inici de sessió fa servir el portàtil.

Aquests quatre separen un verificador obsolet d'un bloqueig de compte o d'un inici de sessió VPN rebutjat, que en un tiquet semblen iguals i tenen solucions diferents. Un compte bloquejat rebutjarà la contrasenya nova també en línia, així que proveu-ho abans de culpar la memòria cau.

Tanqueu el cercle amb un inici de sessió en línia

L'objectiu és un inici de sessió interactiu compatible mentre el domini és abastable, seguit d'un estat sense connexió conegut. Aquest únic esdeveniment refresca el verificador i acaba amb el cicle de canviar la contrasenya a cada dispositiu.

Verifiqueu l'estat després amb el recompte d'inicis de sessió en memòria cau i una consulta al controlador de domini:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Si el recompte és zero, l'inici de sessió en memòria cau està desactivat per política i el comportament sense connexió no canviarà per moltes vegades que es restableixi la contrasenya. És una decisió de política que cal plantejar a l'amo, no una solució alternativa per aplicar localment.