Zergatik onartzen duen domeinuko eramangarriak pasahitz zaharra konexiorik gabe

Pasahitz-aldaketa batera iristen da toki guztietara, astebete konexiorik gabe egon den ordenagailu eramangarri bakarrera izan ezik. Web-postak pasahitz berria onartzen du, bulegoko mahaigain batek ere bai, eta urrutiko makinak zaharrarekin saioa hasten jarraitzen du VPN-a behera dagoenean. Ez da bigarren pasahitz bat eta ez da direktorioaren sinkronizazio akats bat. Cachean gordetako saioa hasteko egiaztatzailea da, bere jatorrizko egitekoa betetzen ari dena, eta konponbidea sekuentzia bat da, ez berrezartze bat.

Ordenagailuak cachean gordetako egiaztatzailea egiaztatzen du

Domeinura batu den Windows-ek tokiko egiaztatzaile bat gordetzen du azken saioa hasi interaktibo arrakastatsuetarako, domeinu-kontrolatzaile batek erantzuten ez duenean makina abiarazi ahal izateko. Egiaztatzaile hori saioa hasi hartan zegoen pasahitzetik eratorria da. Pasahitza beste nonbait aldatzeak direktorioa eguneratzen du, baina ez du harrezkero berarekin hitz egin ez duen ordenagailuko kopia.

Beraz, pasahitz zaharrak tokiko saioa ireki dezake oraindik, domeinu autentifikazio berri orotarako baliogabea izan arren. Bi behaketa desberdin dira, eta nahasteak berrezartze errepikak eragiten ditu.

Egiaztatu zein kredentzial erabiltzen ari den benetan, beste ezer aldatu baino lehen. Windows Hello PIN bat, Entra ID bidezko saioa eta domeinu-pasahitz tradizional bat mekanismo bereiziak dira, eta PIN-a bereziki ez da domeinuaren pasahitza, mahaigain bera desblokeatzen duenean ere.

Sare-autentifikazioa ez da saioa hasi interaktiboa

Pasahitz berriarekin fitxategi-partekatze bat irekitzeak sarearen bidea funtzionatzen duela frogatzen du. Ez du saioa hasi interaktiboaren cachea freskatzen, Windows-ek sareko eta interaktiboko autentifikazioa eragiketa bereizi gisa tratatzen baititu, egoera bereiziekin.

Egiaztatzailea soilik freskatzen da saioa hasi interaktibo batek domeinu-kontrolatzaile batekin benetan harremanetan jartzen denean; muntatutako unitate batek edo Outlook-en ohar batek ez dute hori egiten.

Bereizketa horrek ohiko txostena azaltzen du: erabiltzaileak posta irakurri eta intraneta ireki dezake, baina blokeo-pantailak pasahitz zaharra eskatzen du oraindik. Honek ere azaltzen du zergatik saioa hasi ondoren abiarazitako VPN batek ezin duen hasierako saioa lagundu, tunela erabakia tokian bertan hartu ondoren iristen baita.

Lortu lineako saioa hasi bakarra une egokian

Cachea freskatzen da erabiltzaileak interaktiboki saioa hasten duenean domeinua eskuragarri dagoen bitartean. Urrutiko makina batean, horrek esan nahi du tunelek kredentziala ebaluatu aurretik existitu behar duela, ez mahaigaia agertu ondoren.

Egiaztatu inplementazioak saioa hasi aurreko konektibitatea edo gailu-tunela onartzen dituen. Horiek une honetarako diseinatuta daude, eta erabiltzaile-tunel bat ez da haien ordezkoa:

nltest /dsgetdc:corp.example
klist

Muturreko puntuak saioa hasi aurreko biderik ez badu, erabili erakundeak dokumentatzen duen berreskuratze prozesu onartua. Zenbait ingurunek konektatu, blokeatu eta desblokeatu sekuentzia erabiltzen dute, tunela blokeo-pantailan irekita mantenduz; beste batzuek gailua kudeatutako berreskuratze urrats batera bidaltzen dute. Jarrai ezazu bezeroari dagokiona, eta horren gainean fidatu aurretik egiaztatu tunelek blokeo-pantaila gainditzen duela.

Babestu itzulerako bidea

Urrutiko makinatik saioa itxi aurretik, erabaki nola iritsiko den hurrengo saioa domeinura. Saioarekin batera erortzen den erabiltzaile-tunel batek kontatzen zenuen bide bakarra kenda dezake, eta orduan ez pasahitz zaharrak ez berriak ez zaitu blokeo-pantailatik pasako. Mantendu tokiko administrazio-kontu bat edo banda kanpoko kontsola bat ordezko gisa. Idatzi berreskuratze urratsa erabiltzaileak saioa hasi gabe irits dezakeen tokian.

Laguntzarako, bildu lau datu: non aldatu zen pasahitza, zein kredentzialek funtzionatzen duen oraindik konexiorik gabe, domeinu-kontrolatzaile bat tuneletik eskuragarri ote dagoen eta ordenagailuak zein saioa hasteko metodo erabiltzen duen.

Lau horiek egiaztatzaile zaharkitu bat bereizten dute kontu-blokeo batetik edo baztertutako VPN saioa hastea, tiket batean berdinak diruditenak eta konponbide desberdinak dituztenak. Blokeatutako kontu batek pasahitz berria linean ere baztertuko du, beraz probatu hori cacheari errua bota aurretik.

Itxi zirkulua lineako saioa hasi bakarrarekin

Helburua domeinua eskuragarri dagoen bitartean onartutako saioa hasi interaktibo bat da, eta ondoren ezaguna den konexiorik gabeko egoera bat. Gertaera bakar horrek egiaztatzailea freskatzen du eta gailu bakoitzean pasahitza aldatzearen zikloa amaitzen du.

Egiaztatu egoera ondoren cachean gordetako saioa hasi kopuruarekin eta domeinu-kontrolatzailearen bilaketarekin:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Kopurua zero bada, cachean gordetako saioa hastea politika bidez desgaituta dago eta konexiorik gabeko portaera ez da aldatuko pasahitza zenbat aldiz berrezarri. Jabearekin planteatzen den politika-erabakia da, ez tokian bertan aplikatzeko saihesbidea.