Pam mae gliniadur parth yn derbyn yr hen gyfrinair all-lein

Mae newid cyfrinair yn cyrraedd pob man ar unwaith, heblaw am yr un gliniadur sydd wedi bod all-lein am wythnos. Mae ebost gwe yn derbyn y cyfrinair newydd, mae cyfrifiadur bwrdd yn y swyddfa yn ei dderbyn, ac mae'r peiriant o bell yn dal i fewngofnodi â'r hen un pan fydd y VPN i lawr. Nid ail gyfrinair yw hwn ac nid nam cysoni yn y cyfeiriadur yw e. Y gwir yw bod y dilysydd mewngofnodi wedi'i storio yn gwneud yr hyn y cafodd ei gynllunio ar ei gyfer, a dilyniant, nid ailosodiad, yw'r ateb.

Mae'r gliniadur yn gwirio dilysydd sydd wedi'i storio

Mae Windows sydd wedi'i ymuno â pharth yn cadw dilysydd lleol ar gyfer mewngofnodi rhyngweithiol llwyddiannus diweddar, fel y gall y peiriant gychwyn pan nad oes rheolydd parth yn ateb. Mae'r dilysydd hwnnw'n deillio o'r cyfrinair fel yr oedd ar adeg y mewngofnodi hwnnw. Mae newid y cyfrinair mewn man arall yn diweddaru'r cyfeiriadur, nid y copi ar liniadur nad yw wedi siarad ag ef ers hynny.

Felly gall yr hen gyfrinair agor y sesiwn leol o hyd, er ei fod yn annilys ar gyfer unrhyw ddilysiad parth newydd. Dau arsylwi gwahanol yw'r rhain, ac mae eu cymysgu yn arwain at ailosodiadau mynych.

Cadarnhewch pa dystysgrif sydd mewn gwirionedd yn cael ei defnyddio cyn newid unrhyw beth arall. Mae PIN Windows Hello, mewngofnodi Entra ID, a chyfrinair parth traddodiadol yn fecanweithiau ar wahân, ac nid yw'r PIN yn gyfrinair parth hyd yn oed pan fydd yn datgloi'r un bwrdd gwaith.

Nid yw dilysu rhwydwaith yn fewngofnodi rhyngweithiol

Mae agor cyfraniad ffeil â'r cyfrinair newydd yn profi bod y llwybr rhwydwaith yn gweithio. Nid yw'n adnewyddu'r storfa mewngofnodi rhyngweithiol, oherwydd mae Windows yn trin dilysu rhwydwaith a dilysu rhyngweithiol fel gweithrediadau ar wahân â chyflwr ar wahân.

Dim ond pan fydd mewngofnodi rhyngweithiol yn cysylltu â rheolydd parth y mae'r dilysydd yn adnewyddu; nid yw gyriant wedi'i fapio nac anogwr Outlook yn gwneud hynny.

Mae'r gwahaniaeth hwnnw'n esbonio'r adroddiad arferol: gall y defnyddiwr ddarllen ebost ac agor y fewnrwyd, ond mae'r sgrin glo yn dal i ofyn am yr hen gyfrinair. Mae hefyd yn esbonio pam na all VPN a gychwynnir ar ôl mewngofnodi helpu'r mewngofnodi cychwynnol, gan fod y twnnel yn cyrraedd ar ôl i'r penderfyniad gael ei wneud yn lleol yn barod.

Sicrhewch un mewngofnodi ar-lein ar y foment iawn

Mae'r storfa'n adnewyddu pan fydd y defnyddiwr yn mewngofnodi'n rhyngweithiol tra bo'r parth yn gyrraeddadwy. Ar gyfer peiriant o bell, mae hynny'n golygu bod yn rhaid i'r twnnel fodoli cyn i'r dystysgrif gael ei gwerthuso, nid ar ôl i'r bwrdd gwaith ymddangos.

Gwiriwch a yw'r defnydd yn cefnogi cysylltedd cyn mewngofnodi neu dwnnel dyfais. Maent wedi'u cynllunio ar gyfer yr amseru hwn, ac nid yw twnnel defnyddiwr yn ddewis arall:

nltest /dsgetdc:corp.example
klist

Os nad oes gan y pen terfyn lwybr cyn mewngofnodi, defnyddiwch y broses adfer a gefnogir y mae'r sefydliad yn ei dogfennu. Mae rhai amgylcheddau'n defnyddio dilyniant cysylltu, cloi, a datgloi gyda'r twnnel yn cael ei gadw ar agor wrth y sgrin glo; mae eraill yn anfon y ddyfais i gam adfer a reolir. Dilynwch yr un sy'n cyd-fynd â'r cleient, a chyn dibynnu arno, cadarnhewch fod y twnnel yn goroesi'r sgrin glo.

Diogelwch y ffordd yn ôl

Cyn allgofnodi o beiriant o bell, penderfynwch sut y bydd y mewngofnodi nesaf yn cyrraedd y parth. Gall twnnel defnyddiwr sy'n cwympo gyda'r sesiwn ddileu'r unig lwybr yr oeddech yn cyfrif arno, ac yna ni fydd yr hen na'r newid cyfrinair yn eich cael heibio'r sgrin glo. Cadwch gyfrif gweinyddol lleol neu gonsol allan o'r band fel y dewis wrth gefn. Ysgrifennwch y cam adfer lle gall y defnyddiwr ei gyrraedd heb fewngofnodi.

Ar gyfer cymorth, casglwch bedwar ffaith: ble newidiwyd y cyfrinair, pa dystysgrif sy'n dal i weithio all-lein, a yw rheolydd parth yn gyrraeddadwy drwy'r twnnel, a pha ddull mewngofnodi y mae'r gliniadur yn ei ddefnyddio.

Mae'r pedwar yn gwahanu dilysydd darfodedig oddi wrth glo cyfrif neu fewngofnodi VPN a wrthodwyd, sy'n edrych yn debyg mewn tocyn ac sydd â chyfryngau gwahanol. Bydd cyfrif sydd wedi'i gloi yn gwrthod y cyfrinair newydd ar-lein hefyd, felly profwch hynny cyn beio'r storfa.

Cau'r dolen ag un mewngofnodi ar-lein

Y nod yw un mewngofnodi rhyngweithiol a gefnogir tra bo'r parth yn gyrraeddadwy, ac yna cyflwr all-lein hysbys. Mae'r un digwyddiad hwnnw'n adnewyddu'r dilysydd ac yn dod â'r cylch o newid y cyfrinair ar bob dyfais i ben.

Gwiriwch y cyflwr wedyn â chyfrif y mewngofnodiadau a storiwyd ac ymchwiliad rheolydd parth:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Os yw'r cyfrif yn sero, mae mewngofnodi a storiwyd wedi'i analluogi gan bolisi ac ni fydd yr ymddygiad all-lein yn newid waeth faint o weithiau y bydd y cyfrinair yn cael ei ailosod. Penderfyniad polisi sydd i'w godi gyda'r perchennog, nid ffordd o osgoi sy'n cael ei chymhwyso'n lleol.