چرا لپ‌تاپ دامنه گذرواژه قدیمی را آفلاین می‌پذیرد
لپ‌تاپ عضو دامنه یک تأییدکننده ذخیره‌شده برای ورود آفلاین نگه می‌دارد و تغییر گذرواژه در جای دیگر آن را تازه نمی‌کند. این توالی است که آن را تازه می‌کند.
تغییر گذرواژه هم‌زمان به همه‌جا می‌رسد، به‌جز همان یک لپ‌تاپی که یک هفته آفلاین بوده است. ایمیل وب گذرواژه جدید را می‌پذیرد، یک رایانه رومیزی در دفتر آن را می‌پذیرد، و دستگاه راه‌دور وقتی VPN قطع است هنوز با گذرواژه قدیمی وارد می‌شود. این گذرواژه دوم نیست و اشکال همگام‌سازی در دایرکتوری هم نیست. این همان تأییدکننده ورود ذخیره‌شده است که کاری را می‌کند که برایش ساخته شده، و راه‌حل یک توالی است، نه بازنشانی.
لپ‌تاپ یک تأییدکننده ذخیره‌شده را بررسی می‌کند
ویندوز عضو دامنه یک تأییدکننده محلی برای ورودهای تعاملی موفق اخیر نگه می‌دارد تا دستگاه وقتی هیچ کنترل‌کننده دامنه‌ای پاسخ نمی‌دهد بتواند راه‌اندازی شود. آن تأییدکننده از گذرواژه در همان لحظه ورود گرفته شده است. تغییر گذرواژه در جای دیگر دایرکتوری را به‌روز می‌کند، نه نسخه روی لپ‌تاپی که از آن پس با آن صحبت نکرده است.
بنابراین گذرواژه قدیمی هنوز می‌تواند نشست محلی را باز کند، در حالی که برای هر احراز هویت تازه دامنه نامعتبر است. این‌ها دو مشاهده متفاوت‌اند و آمیختن‌شان به بازنشانی‌های تکراری می‌انجامد.
پیش از تغییر هر چیز دیگری روشن کنید کدام اعتبارنامه واقعاً به کار می‌رود. پین Windows Hello، ورود با Entra ID و گذرواژه سنتی دامنه سازوکارهای جداگانه‌ای هستند، و پین به‌ویژه گذرواژه دامنه نیست، حتی وقتی همان میزکار را باز می‌کند.
احراز هویت شبکه همان ورود تعاملی نیست
باز کردن یک اشتراک فایل با گذرواژه جدید ثابت می‌کند مسیر شبکه کار می‌کند. اما حافظه ورود تعاملی را تازه نمی‌کند، چون ویندوز احراز هویت شبکه و تعاملی را عملیات‌های جداگانه با وضعیت جداگانه می‌داند.
تأییدکننده تنها وقتی تازه می‌شود که یک ورود تعاملی واقعاً با کنترل‌کننده دامنه تماس بگیرد؛ درایو نگاشت‌شده یا اعلان Outlook این کار را نمی‌کند.
این تفاوت گزارش معمول را توضیح می‌دهد: کاربر می‌تواند ایمیل بخواند و اینترانت را باز کند، اما صفحه قفل هنوز گذرواژه قدیمی را می‌خواهد. همچنین توضیح می‌دهد چرا VPNی که پس از ورود اجرا می‌شود نمی‌تواند به ورود اولیه کمک کند، چون تونل پس از آن می‌رسد که تصمیم از پیش به‌صورت محلی گرفته شده است.
یک ورود آنلاین را در لحظه درست به دست آورید
حافظه وقتی تازه می‌شود که کاربر در حالی که دامنه در دسترس است به‌صورت تعاملی وارد شود. برای دستگاه راه‌دور این یعنی تونل باید پیش از ارزیابی اعتبارنامه وجود داشته باشد، نه پس از پدیدار شدن میزکار.
بررسی کنید که استقرار از اتصال پیش از ورود یا تونل دستگاه پشتیبانی می‌کند یا نه. این‌ها برای همین زمان‌بندی ساخته شده‌اند و تونل کاربر جایگزین آن‌ها نیست:
nltest /dsgetdc:corp.example
klistاگر نقطه پایانی مسیری پیش از ورود ندارد، از هر فرایند بازیابی پشتیبانی‌شده‌ای که سازمان مستند کرده استفاده کنید. برخی محیط‌ها از توالی اتصال، قفل و بازگشایی با نگه داشتن تونل در صفحه قفل استفاده می‌کنند؛ برخی دیگر دستگاه را به مرحله بازیابی مدیریت‌شده می‌فرستند. از آنچه با کارخواه سازگار است پیروی کنید و پیش از تکیه بر آن تأیید کنید که تونل از صفحه قفل جان سالم به در می‌برد.
راه بازگشت را محافظت کنید
پیش از خروج از دستگاه راه‌دور تصمیم بگیرید که ورود بعدی چگونه به دامنه برسد. تونل کاربری که با نشست از کار می‌افتد می‌تواند تنها مسیری را که روی آن حساب می‌کردید حذف کند، و آن‌گاه نه گذرواژه قدیمی و نه جدید شما را از صفحه قفل عبور نمی‌دهد. یک حساب مدیریتی محلی یا کنسول خارج از باند را به‌عنوان جایگزین نگه دارید. مرحله بازیابی را جایی بنویسید که کاربر بدون ورود به آن دسترسی داشته باشد.
برای پشتیبانی چهار واقعیت را گردآوری کنید: گذرواژه کجا تغییر کرد، کدام اعتبارنامه هنوز آفلاین کار می‌کند، آیا کنترل‌کننده دامنه از طریق تونل در دسترس است، و لپ‌تاپ از کدام روش ورود استفاده می‌کند.
این چهار تأییدکننده کهنه را از قفل حساب یا ورود VPN ردشده جدا می‌کنند، که در یک تیکت شبیه به هم به نظر می‌رسند و راه‌حل‌های متفاوتی دارند. حساب قفل‌شده گذرواژه جدید را آنلاین هم رد می‌کند، پس پیش از متهم کردن حافظه آن را آزمایش کنید.
چرخه را با یک ورود آنلاین ببندید
هدف یک ورود تعاملی پشتیبانی‌شده در حالی است که دامنه در دسترس است، و پس از آن یک وضعیت آفلاین شناخته‌شده. همان رویداد یکتا تأییدکننده را تازه می‌کند و چرخه تغییر گذرواژه روی هر دستگاه را پایان می‌دهد.
پس از آن وضعیت را با شمار ورودهای ذخیره‌شده و جست‌وجوی کنترل‌کننده دامنه بررسی کنید:
reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.exampleاگر شمار صفر باشد، ورود ذخیره‌شده با خط‌مشی غیرفعال شده است و رفتار آفلاین هر چند بار هم که گذرواژه بازنشانی شود تغییر نمی‌کند. این تصمیمی خط‌مشی است که باید با مالک مطرح شود، نه راه دور زدنی برای اعمال محلی.