Kial domajna tekkomputilo akceptas la malnovan pasvorton senrete

Ŝanĝo de pasvorto alvenas ĉie samtempe, krom sur la sola tekkomputilo, kiu estis senrete dum semajno. Retpoŝto akceptas la novan pasvorton, labortabla komputilo en la oficejo akceptas ĝin, kaj la fora maŝino ankoraŭ ensalutas per la malnova kiam la VPN estas malŝaltita. Tio ne estas dua pasvorto kaj ne sinkroniga eraro en la dosierujo. Ĝi estas la kaŝmemorigita ensaluta kontrolilo faranta tion, por kio ĝi estis desegnita, kaj la solvo estas sinsekvo, ne restarigo.

La tekkomputilo kontrolas kaŝmemorigitan kontrolilon

Domajne aliĝinta Windows tenas lokan kontrolilon por lastatempaj sukcesaj interagaj ensalutoj, por ke la maŝino povu starti kiam neniu domajna regilo respondas. Tiu kontrolilo estas derivita de la pasvorto tia, kia ĝi estis ĉe tiu ensaluto. Ŝanĝi la pasvorton aliloke ĝisdatigas la dosierujon, ne la kopion sur tekkomputilo, kiu de tiam ne parolis kun ĝi.

Do la malnova pasvorto ankoraŭ povas malfermi la lokan seancon, kvankam ĝi estas malvalida por iu ajn nova domajna aŭtentikigo. Tio estas du malsamaj observoj, kaj miksado de ili kondukas al ripetaj restarigoj.

Konfirmu, kiu legitimilo efektive estas uzata, antaŭ ol ŝanĝi ion alian. PIN de Windows Hello, ensaluto per Entra ID kaj tradicia domajna pasvorto estas apartaj mekanismoj, kaj la PIN precipe ne estas la domajna pasvorto, eĉ kiam ĝi malŝlosas la saman labortablon.

Reta aŭtentikigo ne estas interaga ensaluto

Malfermi retan kunhavigon per la nova pasvorto pruvas, ke la reta vojo funkcias. Ĝi ne refreŝigas la kaŝmemoron de interaga ensaluto, ĉar Windows traktas retan kaj interagan aŭtentikigon kiel apartajn operaciojn kun aparta stato.

La kontrolilo refreŝiĝas nur kiam interaga ensaluto vere kontaktas domajnan regilon; mapita disko aŭ prompto de Outlook tion ne faras.

Tiu distingo klarigas la kutiman raporton: la uzanto povas legi retpoŝton kaj malfermi la internaĵon, sed la ŝlosila ekrano ankoraŭ postulas la malnovan pasvorton. Ĝi ankaŭ klarigas, kial VPN startigita post ensaluto ne povas helpi la unuan ensaluton, ĉar la tunelo alvenas post kiam la decido jam estis farita loke.

Akiru unu retan ensaluton je la ĝusta momento

La kaŝmemoro refreŝiĝas kiam la uzanto ensalutas interage dum la domajno estas atingebla. Por fora maŝino tio signifas, ke la tunelo devas ekzisti antaŭ ol la legitimilo estas taksata, ne post kiam la labortablo aperas.

Kontrolu ĉu la lanĉo subtenas konekteblecon antaŭ ensaluto aŭ tunelon por aparato. Ili estas desegnitaj por ĉi tiu tempo, kaj uzanta tunelo ne anstataŭas ilin:

nltest /dsgetdc:corp.example
klist

Se la finpunkto ne havas vojon antaŭ ensaluto, uzu kiun ajn subtenatan restaŭran procezon, kiun la organizo dokumentas. Kelkaj medioj uzas sinsekvon konekti, ŝlosi kaj malŝlosi kun la tunelo tenata malfermita ĉe la ŝlosila ekrano; aliaj sendas la aparaton al administrata restaŭra paŝo. Sekvu tiun, kiu kongruas kun la kliento, kaj antaŭ ol fidi ĝin, konfirmu ke la tunelo travivas la ŝlosilan ekranon.

Protektu la vojon reen

Antaŭ ol elsaluti de fora maŝino, decidu kiel la sekva ensaluto atingos la domajnon. Uzanta tunelo, kiu falas kun la seanco, povas forigi la solan vojon, sur kiun vi kalkulis, kaj tiam nek la malnova nek la nova pasvorto pasigos vin preter la ŝlosila ekrano. Tenu lokan administran konton aŭ eksterbandan konzolon kiel rezervon. Skribu la restaŭran paŝon tie, kie la uzanto povas atingi ĝin sen ensaluti.

Por subteno, kolektu kvar faktojn: kie la pasvorto ŝanĝiĝis, kiu legitimilo ankoraŭ funkcias senrete, ĉu domajna regilo estas atingebla tra la tunelo, kaj kiun ensalutan metodon la tekkomputilo uzas.

Tiuj kvar apartigas kadukan kontrolilon de konta ŝloso aŭ rifuzita VPN-ensaluto, kiuj aspektas simile en bileto kaj havas malsamajn solvojn. Ŝlosita konto rifuzos la novan pasvorton ankaŭ rete, do testu tion antaŭ ol kulpi la kaŝmemoron.

Fermu la cirklon per unu reta ensaluto

La celo estas unu subtenata interaga ensaluto dum la domajno estas atingebla, sekvata de konata senreta stato. Tiu unuopa evento refreŝigas la kontrolilon kaj finas la ciklon de ŝanĝado de la pasvorto sur ĉiu aparato.

Poste kontrolu la staton per la nombro de kaŝmemoritaj ensalutoj kaj serĉo de domajna regilo:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Se la nombro estas nulo, kaŝmemorita ensaluto estas malŝaltita per politiko kaj la senreta konduto ne ŝanĝiĝos, kiom ajn da fojoj la pasvorto restariĝos. Tio estas politika decido levi ĉe la posedanto, ne ĉirkaŭvojo por apliki loke.