Proč doménový notebook přijímá staré heslo offline

Změna hesla se projeví všude najednou, kromě jediného notebooku, který byl týden offline. Webmail přijme nové heslo, stolní počítač v kanceláři také, a vzdálený stroj se přesto při výpadku VPN přihlašuje starým. Není to druhé heslo ani chyba synchronizace adresáře. Je to uložený ověřovač přihlášení, který dělá to, k čemu byl navržen, a řešením je sled kroků, ne reset.

Notebook ověřuje uložený ověřovač

Windows připojený k doméně uchovává místní ověřovač pro nedávná úspěšná interaktivní přihlášení, aby se stroj mohl spustit, když neodpovídá žádný řadič domény. Tento ověřovač se odvozuje z hesla tak, jak bylo při onom přihlášení. Změna hesla jinde aktualizuje adresář, ale ne kopii na notebooku, který s ním od té doby nemluvil.

Staré heslo tedy stále může otevřít místní relaci, i když je neplatné pro jakékoli nové ověření v doméně. To jsou dvě různá pozorování a jejich záměna vede k opakovaným resetům.

Než změníte cokoli dalšího, potvrďte, které přihlašovací údaje se skutečně používají. PIN Windows Hello, přihlášení přes Entra ID a tradiční doménové heslo jsou oddělené mechanismy a PIN zejména není doménové heslo, i když odemyká stejnou plochu.

Síťové ověřování není interaktivní přihlášení

Otevření síťové sdílené složky novým heslem dokazuje, že síťová cesta funguje. Neobnovuje ale mezipaměť interaktivního přihlášení, protože Windows považuje síťové a interaktivní ověřování za oddělené operace s odděleným stavem.

Ověřovač se obnoví jen tehdy, když interaktivní přihlášení skutečně kontaktuje řadič domény; připojený disk nebo výzva Outlooku to neudělá.

Tento rozdíl vysvětluje obvyklé hlášení: uživatel může číst poštu a otevřít intranet, ale zamykací obrazovka stále chce staré heslo. Vysvětluje také, proč VPN spuštěná po přihlášení nemůže pomoci počátečnímu přihlášení, protože tunel přichází poté, co rozhodnutí už padlo lokálně.

Získejte jedno online přihlášení ve správný okamžik

Mezipaměť se obnoví, když se uživatel přihlásí interaktivně, zatímco je doména dostupná. U vzdáleného stroje to znamená, že tunel musí existovat dřív, než se údaje vyhodnotí, ne až poté, co se objeví plocha.

Zkontrolujte, zda nasazení podporuje připojení před přihlášením nebo tunel zařízení. Ty jsou pro tento okamžik navržené a uživatelský tunel je nenahrazuje:

nltest /dsgetdc:corp.example
klist

Pokud koncový bod nemá cestu před přihlášením, použijte podporovaný proces obnovy, který organizace dokumentuje. Některá prostředí používají sled připojit, zamknout a odemknout s tunelem drženým otevřeným na zamykací obrazovce; jiná posílají zařízení na řízený krok obnovy. Postupujte podle toho, co odpovídá klientovi, a než se na tunel spolehnete, ověřte, že přežije zamykací obrazovku.

Chraňte cestu zpět

Než se odhlásíte ze vzdáleného stroje, rozhodněte, jak se příští přihlášení dostane do domény. Uživatelský tunel, který spadne s relací, může odstranit jedinou cestu, se kterou jste počítali, a pak vás přes zamykací obrazovku nepustí ani staré, ani nové heslo. Mějte jako zálohu místní správcovský účet nebo konzoli mimo pásmo. Zapište krok obnovy tam, kde k němu uživatel dosáhne bez přihlášení.

Pro podporu shromážděte čtyři fakta: kde se heslo změnilo, které přihlašovací údaje ještě fungují offline, zda je řadič domény dosažitelný tunelem a jakou metodu přihlášení notebook používá.

Tyto čtyři oddělují zastaralý ověřovač od uzamčení účtu nebo odmítnutého přihlášení VPN, které v tiketu vypadají podobně a mají různá řešení. Uzamčený účet odmítne nové heslo i online, takže to otestujte, než obviníte mezipaměť.

Uzavřete smyčku jedním online přihlášením

Cílem je jedno podporované interaktivní přihlášení, dokud je doména dostupná, následované známým offline stavem. Tato jediná událost obnoví ověřovač a ukončí cyklus měnění hesla na každém zařízení.

Stav poté ověřte počtem uložených přihlášení a vyhledáním řadiče domény:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Pokud je počet nula, uložené přihlášení je vypnuté zásadou a offline chování se nezmění, ať se heslo resetuje kolikrátkoli. To je rozhodnutí o zásadě, které je třeba nadnést u vlastníka, ne obejití k místnímu použití.