Hvorfor en domænebærbar accepterer den gamle adgangskode offline

En adgangskodeændring lander overalt på én gang, undtagen på den ene bærbare computer, der har været offline i en uge. Webmail tager den nye adgangskode, en stationær computer på kontoret tager den, og den fjernstyre maskine logger stadig ind med den gamle, når VPN'en er nede. Det er ikke en anden adgangskode og ikke en synkroniseringsfejl i kataloget. Det er den cachelagrede logonverifikator, der gør, hvad den er designet til, og løsningen er en sekvens, ikke en nulstilling.

Computeren kontrollerer en cachelagret verifikator

Domænetilsluttet Windows gemmer en lokal verifikator til de seneste vellykkede interaktive logon, så maskinen kan starte, når ingen domænecontroller svarer. Den verifikator udledes af adgangskoden, som den var ved det logon. Ændres adgangskoden andre steder, opdateres kataloget, men ikke kopien på en computer, der ikke har talt med det siden.

Så den gamle adgangskode kan stadig åbne den lokale session, selv om den er ugyldig til enhver ny domæneautentificering. Det er to forskellige observationer, og at blande dem fører til gentagne nulstillinger.

Bekræft, hvilken legitimationsoplysning der faktisk er i spil, før du ændrer noget andet. En Windows Hello-PIN, et Entra ID-logon og en traditionel domæneadgangskode er separate mekanismer, og PIN'en er især ikke domæneadgangskoden, selv når den låser den samme skrivebord op.

Netværksautentificering er ikke interaktivt logon

At åbne en netværksshare med den nye adgangskode beviser, at netværksvejen virker. Det opdaterer ikke cachen for interaktivt logon, fordi Windows behandler netværks- og interaktiv autentificering som separate handlinger med separat tilstand.

Verifikatoren opdateres kun, når et interaktivt logon faktisk kontakter en domænecontroller; et tilknyttet drev eller en Outlook-anmodning gør det ikke.

Den forskel forklarer den sædvanlige rapport: brugeren kan læse mail og åbne intranettet, men låseskærmen vil stadig have den gamle adgangskode. Den forklarer også, hvorfor en VPN startet efter logon ikke kan hjælpe det første logon, da tunnelen ankommer, efter beslutningen allerede er taget lokalt.

Få ét onlinelogon på det rigtige tidspunkt

Cachen opdateres, når brugeren logger interaktivt ind, mens domænet er tilgængeligt. For en fjernmaskine betyder det, at tunnelen skal findes, før legitimationsoplysningen vurderes, ikke efter skrivebordet vises.

Kontroller, om udrulningen understøtter forbindelse før logon eller en enhedstunnel. De er designet til netop dette tidspunkt, og en brugertunnel er ikke en erstatning:

nltest /dsgetdc:corp.example
klist

Hvis slutpunktet ikke har en vej før logon, brug den understøttede gendannelsesproces, som organisationen dokumenterer. Nogle miljøer bruger en sekvens med forbind, lås og oplås, hvor tunnelen holdes åben på låseskærmen; andre sender enheden til et administreret gendannelsestrin. Følg det, der passer til klienten, og bekræft, at tunnelen overlever låseskærmen, før du regner med den.

Beskyt vejen tilbage

Før du logger af en fjernmaskine, skal du beslutte, hvordan det næste logon når domænet. En brugertunnel, der falder med sessionen, kan fjerne den eneste vej, du regnede med, og så får hverken den gamle eller den nye adgangskode dig forbi låseskærmen. Hold en lokal administratorkonto eller en out-of-band-konsol som reserve. Skriv gendannelsestrinet ned, hvor brugeren kan nå det uden at logge ind.

Indsaml fire fakta til support: hvor adgangskoden blev ændret, hvilken legitimationsoplysning der stadig virker offline, om en domænecontroller er tilgængelig gennem tunnelen, og hvilken logonmetode computeren bruger.

De fire adskiller en forældet verifikator fra en kontolåsning eller et afvist VPN-logon, som ser ens ud i en sag og har forskellige løsninger. En låst konto afviser også den nye adgangskode online, så test det, før du bebrejder cachen.

Luk kredsen med ét onlinelogon

Målet er ét understøttet interaktivt logon, mens domænet er tilgængeligt, efterfulgt af en kendt offlinetilstand. Den ene hændelse opdaterer verifikatoren og afslutter cyklussen med at ændre adgangskoden på hver enhed.

Kontroller tilstanden bagefter med antallet af cachelagrede logon og et opslag i domænecontrolleren:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Er antallet nul, er cachelagret logon deaktiveret af politik, og offlineadfærden ændrer sig ikke, uanset hvor mange gange adgangskoden nulstilles. Det er en politikbeslutning, der skal rejses hos ejeren, ikke en omgåelse, der anvendes lokalt.