Miksi toimialueen kannettava hyväksyy vanhan salasanan offline-tilassa

Salasanan vaihto ehtii kaikkialle kerralla, paitsi siihen yhteen kannettavaan, joka on ollut viikon offline-tilassa. Verkkoposti ottaa uuden salasanan vastaan, toimiston pöytäkone ottaa sen vastaan, ja etäkone kirjautuu yhä vanhalla, kun VPN on alhaalla. Kyse ei ole toisesta salasanasta eikä hakemiston synkronointivirheestä. Kyse on välimuistiin tallennetusta kirjautumisen vahvistimesta, joka tekee sen, mihin se on suunniteltu, ja korjaus on sarja vaiheita, ei nollaus.

Kannettava tarkistaa välimuistiin tallennettua vahvistinta

Toimialueeseen liitetty Windows pitää paikallista vahvistinta viimeisimmistä onnistuneista vuorovaikutteisista kirjautumisista, jotta kone voi käynnistyä, kun yksikään toimialueen ohjauskone ei vastaa. Tämä vahvistin johdetaan salasanasta sellaisena kuin se oli kyseisellä kirjautumisella. Salasanan vaihtaminen muualla päivittää hakemiston, ei sitä kopiota kannettavassa, joka ei ole sen jälkeen puhunut sen kanssa.

Niinpä vanha salasana voi yhä avata paikallisen istunnon, vaikka se on kelvoton mihin tahansa uuteen toimialueen todennukseen. Nämä ovat kaksi eri havaintoa, ja niiden sekoittaminen johtaa toistuviin nollauksiin.

Varmista, mitä tunnistetietoa todella käytetään, ennen kuin muutat mitään muuta. Windows Hello -PIN, Entra ID -kirjautuminen ja perinteinen toimialueen salasana ovat erillisiä mekanismeja, eikä PIN varsinkaan ole toimialueen salasana, vaikka se avaisikin saman työpöydän.

Verkon todennus ei ole vuorovaikutteinen kirjautuminen

Tiedostojakoon kirjautuminen uudella salasanalla todistaa, että verkkopolku toimii. Se ei päivitä vuorovaikutteisen kirjautumisen välimuistia, koska Windows käsittelee verkko- ja vuorovaikutteista todennusta erillisinä toimintoina, joilla on erillinen tila.

Vahvistin päivittyy vain, kun vuorovaikutteinen kirjautuminen todella ottaa yhteyttä toimialueen ohjauskoneeseen; yhdistetty asema tai Outlookin kehote ei tee sitä.

Tämä ero selittää tavanomaisen ilmoituksen: käyttäjä voi lukea postia ja avata intranetin, mutta lukitusnäyttö pyytää yhä vanhaa salasanaa. Se selittää myös, miksi kirjautumisen jälkeen käynnistetty VPN ei voi auttaa ensimmäistä kirjautumista, koska tunneli saapuu vasta, kun päätös on jo tehty paikallisesti.

Hanki yksi verkkokirjautuminen oikealla hetkellä

Välimuisti päivittyy, kun käyttäjä kirjautuu vuorovaikutteisesti toimialueen ollessa tavoitettavissa. Etäkoneen kohdalla se tarkoittaa, että tunnelin on oltava olemassa ennen tunnistetiedon arviointia, ei vasta työpöydän ilmestymisen jälkeen.

Tarkista, tukeeko käyttöönotto ennen kirjautumista tapahtuvaa yhteyttä tai laitetunnelia. Ne on suunniteltu juuri tähän ajoitukseen, eikä käyttäjätunneli korvaa niitä:

nltest /dsgetdc:corp.example
klist

Jos päätepisteellä ei ole polkua ennen kirjautumista, käytä sitä tuettua palautusprosessia, jonka organisaatio dokumentoi. Jotkin ympäristöt käyttävät yhdistä, lukitse ja avaa -sarjaa, jossa tunneli pidetään auki lukitusnäytöllä; toiset lähettävät laitteen hallittuun palautusvaiheeseen. Noudata sitä, mikä sopii asiakkaalle, ja varmista ennen siihen luottamista, että tunneli kestää lukitusnäytön yli.

Suojaa paluutie

Ennen kuin kirjaudut ulos etäkoneelta, päätä, miten seuraava kirjautuminen tavoittaa toimialueen. Käyttäjätunneli, joka putoaa istunnon mukana, voi poistaa ainoan polun, jonka varaan laskit, eikä silloin kumpikaan salasana päästä sinua lukitusnäytön ohi. Pidä paikallinen järjestelmänvalvojan tili tai erillinen konsoli varavaihtoehtona. Kirjoita palautusvaihe muistiin sinne, missä käyttäjä tavoittaa sen kirjautumatta.

Kerää tukea varten neljä tosiasiaa: missä salasana vaihdettiin, mikä tunnistetieto toimii yhä offline-tilassa, onko toimialueen ohjauskone tavoitettavissa tunnelin kautta ja mitä kirjautumismenetelmää kannettava käyttää.

Nämä neljä erottavat vanhentuneen vahvistimen tilin lukituksesta tai hylätystä VPN-kirjautumisesta, jotka tikissä näyttävät samalta ja joilla on eri korjaukset. Lukittu tili hylkää uuden salasanan myös verkossa, joten testaa se ennen kuin syytät välimuistia.

Sulje kehä yhdellä verkkokirjautumisella

Tavoite on yksi tuettu vuorovaikutteinen kirjautuminen toimialueen ollessa tavoitettavissa, minkä jälkeen tunnettu offline-tila. Se yksittäinen tapahtuma päivittää vahvistimen ja lopettaa kierron, jossa salasana vaihdetaan joka laitteella.

Tarkista tila sen jälkeen välimuistiin tallennettujen kirjautumisten määrällä ja toimialueen ohjauskoneen haulla:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Jos määrä on nolla, välimuistiin tallennettu kirjautuminen on poistettu käytöstä käytännöllä, eikä offline-käyttäytyminen muutu, vaikka salasana nollattaisiin kuinka monta kertaa. Se on käytäntöpäätös, joka nostetaan omistajan kanssa esiin, ei paikallisesti sovellettava kiertotie.