Miks domeeni sülearvuti aktsepteerib vana parooli võrguühenduseta

Parooli muudatus jõuab korraga igale poole, välja arvatud see üks sülearvuti, mis oli nädal aega võrguühenduseta. Veebipost võtab uue parooli vastu, kontori lauaarvuti võtab selle vastu, ja kaugmasin logib endiselt sisse vana parooliga, kui VPN on maas. See ei ole teine parool ega kataloogi sünkroonimise viga. See on vahemällu salvestatud sisselogimise kontrollija, mis teeb seda, milleks see loodi, ja lahendus on järjestus, mitte lähtestamine.

Sülearvuti kontrollib vahemällu salvestatud kontrollijat

Domeeniga liidetud Windows hoiab kohalikku kontrollijat hiljutiste õnnestunud interaktiivsete sisselogimiste jaoks, et masin saaks käivituda, kui ükski domeenikontroller ei vasta. See kontrollija tuletatakse paroolist sellisena, nagu see sellel sisselogimisel oli. Parooli mujal muutmine uuendab kataloogi, mitte sülearvuti koopiat, mis pole sellest ajast sellega rääkinud.

Nii saab vana parool endiselt kohaliku seansi avada, kuigi see on kehtetu iga uue domeeni autentimise jaoks. Need on kaks eri tähelepanekut ja nende segamine viib korduslähtestamisteni.

Enne millegi muu muutmist tehke kindlaks, millist mandaati tegelikult kasutatakse. Windows Hello PIN, Entra ID sisselogimine ja traditsiooniline domeeniparool on eraldi mehhanismid, ja just PIN ei ole domeeniparool, isegi kui see avab sama töölaua.

Võrgu autentimine ei ole interaktiivne sisselogimine

Failijagamise avamine uue parooliga tõestab, et võrgutee töötab. See ei värskenda interaktiivse sisselogimise vahemälu, sest Windows käsitleb võrgu- ja interaktiivset autentimist eraldi toimingutena eraldi olekuga.

Kontrollija värskendub ainult siis, kui interaktiivne sisselogimine tegelikult domeenikontrolleriga ühendust võtab; kaardistatud draiv või Outlooki viip ei tee seda.

See erinevus selgitab tavalist kaebust: kasutaja saab lugeda posti ja avada intraneti, aga lukustusekraan küsib ikka vana parooli. See selgitab ka, miks pärast sisselogimist käivitatud VPN ei saa algset sisselogimist aidata, sest tunnel saabub pärast seda, kui otsus on juba kohapeal tehtud.

Hankige üks võrguühendusega sisselogimine õigel hetkel

Vahemälu värskendub, kui kasutaja logib interaktiivselt sisse, kui domeen on kättesaadav. Kaugmasina puhul tähendab see, et tunnel peab olema olemas enne mandaadi hindamist, mitte pärast töölaua ilmumist.

Kontrollige, kas juurutus toetab enne sisselogimist ühendust või seadme tunnelit. Need on mõeldud just selle ajastuse jaoks ja kasutaja tunnel ei ole nende asendus:

nltest /dsgetdc:corp.example
klist

Kui lõpp-punktil pole enne sisselogimist teed, kasutage seda toetatud taastamisprotsessi, mille organisatsioon dokumenteerib. Mõnes keskkonnas kasutatakse ühendamise, lukustamise ja avamise järjestust, kus tunnel hoitakse lukustusekraanil avatuna; teised saadavad seadme haldatud taastamissammule. Järgige seda, mis kliendile sobib, ja enne sellele lootmist kinnitage, et tunnel läbib lukustusekraani.

Kaitske tagasiteed

Enne kaugmasinast väljalogimist otsustage, kuidas järgmine sisselogimine domeenini jõuab. Kasutaja tunnel, mis langeb koos seansiga, võib eemaldada ainsa tee, millega arvestasite, ja siis ei vii teid lukustusekraanist mööda ei vana ega uus parool. Hoidke varuvariandina kohalikku administraatori kontot või välisriba konsooli. Kirjutage taastamissamm sinna, kuhu kasutaja pääseb ilma sisselogimata.

Koguge toe jaoks neli fakti: kus parool muudeti, milline mandaat töötab endiselt võrguühenduseta, kas domeenikontroller on tunneli kaudu kättesaadav ja millist sisselogimismeetodit sülearvuti kasutab.

Need neli eraldavad aegunud kontrollija konto lukustusest või tagasilükatud VPN-i sisselogimisest, mis piletis sarnaselt paistavad ja mille lahendused erinevad. Lukustatud konto lükkab uue parooli tagasi ka võrgus, nii et katsetage seda enne vahemälu süüdistamist.

Sulgege ring ühe võrguühendusega sisselogimisega

Eesmärk on üks toetatud interaktiivne sisselogimine, kui domeen on kättesaadav, millele järgneb teadaolev võrguühenduseta olek. See üks sündmus värskendab kontrollijat ja lõpetab parooli igas seadmes muutmise tsükli.

Seejärel kontrollige olekut vahemällu salvestatud sisselogimiste arvu ja domeenikontrolleri otsinguga:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Kui arv on null, on vahemällu salvestatud sisselogimine poliitikaga välja lülitatud ja võrguühenduseta käitumine ei muutu, ükskõik kui mitu korda parooli lähtestatakse. See on poliitikaotsus, mida tuleb omanikuga tõstatada, mitte kohapeal rakendatav mööramine.