डोमेन लैपटॉप ऑफ़लाइन पुराना पासवर्ड क्यों स्वीकार करता है

पासवर्ड परिवर्तन एक साथ हर जगह पहुँच जाता है, सिवाय उस एक लैपटॉप के जो एक हफ़्ते से ऑफ़लाइन रहा है। वेबमेल नया पासवर्ड स्वीकार करता है, दफ़्तर का एक डेस्कटॉप उसे स्वीकार करता है, और दूर की मशीन VPN बंद होने पर भी पुराने पासवर्ड से साइन इन करती है। यह दूसरा पासवर्ड नहीं है और डायरेक्टरी में सिंक की गड़बड़ी भी नहीं है। यह कैश किया गया लॉगऑन सत्यापनकर्ता वही कर रहा है जिसके लिए उसे बनाया गया था, और समाधान एक क्रम है, रीसेट नहीं।

लैपटॉप कैश किए गए सत्यापनकर्ता की जाँच कर रहा है

डोमेन से जुड़ा Windows हाल के सफल इंटरैक्टिव लॉगऑन के लिए स्थानीय सत्यापनकर्ता रखता है, ताकि कोई डोमेन कंट्रोलर उत्तर न देने पर मशीन बूट हो सके। वह सत्यापनकर्ता उस लॉगऑन के समय के पासवर्ड से बनाया जाता है। कहीं और पासवर्ड बदलने से डायरेक्टरी अपडेट होती है, उस लैपटॉप की प्रति नहीं जिसने तब से उससे बात नहीं की।

इसलिए पुराना पासवर्ड अब भी स्थानीय सत्र खोल सकता है, जबकि किसी भी नए डोमेन प्रमाणीकरण के लिए वह अमान्य है। ये दो अलग अवलोकन हैं, और इन्हें मिलाने से बार-बार रीसेट करने पड़ते हैं।

कुछ और बदलने से पहले पुष्टि करें कि वास्तव में कौन-सा क्रेडेंशियल इस्तेमाल हो रहा है। Windows Hello PIN, Entra ID साइन-इन और पारंपरिक डोमेन पासवर्ड अलग-अलग तंत्र हैं, और PIN विशेष रूप से डोमेन पासवर्ड नहीं है, भले ही वह उसी डेस्कटॉप को अनलॉक करे।

नेटवर्क प्रमाणीकरण इंटरैक्टिव लॉगऑन नहीं है

नए पासवर्ड से फ़ाइल साझा खोलना साबित करता है कि नेटवर्क पथ काम करता है। यह इंटरैक्टिव लॉगऑन कैश को रीफ़्रेश नहीं करता, क्योंकि Windows नेटवर्क और इंटरैक्टिव प्रमाणीकरण को अलग स्थिति वाले अलग संचालन मानता है।

सत्यापनकर्ता तभी रीफ़्रेश होता है जब कोई इंटरैक्टिव लॉगऑन वास्तव में डोमेन कंट्रोलर से संपर्क करे; मैप किया गया ड्राइव या Outlook का संकेत ऐसा नहीं करता।

यही अंतर आम रिपोर्ट समझाता है: उपयोगकर्ता मेल पढ़ सकता है और इंट्रानेट खोल सकता है, फिर भी लॉक स्क्रीन पुराना पासवर्ड माँगती है। यह यह भी समझाता है कि साइन-इन के बाद शुरू किया गया VPN शुरुआती लॉगऑन में मदद क्यों नहीं कर सकता, क्योंकि टनल तब आता है जब निर्णय स्थानीय रूप से हो चुका होता है।

सही समय पर एक ऑनलाइन साइन-इन पाएँ

कैश तब रीफ़्रेश होता है जब उपयोगकर्ता डोमेन पहुँच में होने पर इंटरैक्टिव रूप से साइन इन करता है। दूर की मशीन के लिए इसका अर्थ है कि टनल क्रेडेंशियल के मूल्यांकन से पहले मौजूद होना चाहिए, डेस्कटॉप दिखने के बाद नहीं।

देखें कि परिनियोजन लॉगऑन-पूर्व कनेक्टिविटी या डिवाइस टनल का समर्थन करता है या नहीं। ये इसी समय के लिए बनाए गए हैं, और उपयोगकर्ता टनल इनका विकल्प नहीं है:

nltest /dsgetdc:corp.example
klist

यदि एंडपॉइंट के पास लॉगऑन-पूर्व पथ नहीं है, तो संगठन द्वारा प्रलेखित समर्थित रिकवरी प्रक्रिया का उपयोग करें। कुछ वातावरण टनल को लॉक स्क्रीन पर खुला रखते हुए कनेक्ट, लॉक और अनलॉक का क्रम अपनाते हैं; अन्य डिवाइस को प्रबंधित रिकवरी चरण पर भेजते हैं। क्लाइंट के अनुरूप वाला अपनाएँ, और उस पर निर्भर होने से पहले पुष्टि करें कि टनल लॉक स्क्रीन पार करता है।

वापसी का रास्ता सुरक्षित रखें

दूर की मशीन से साइन आउट करने से पहले तय करें कि अगला साइन-इन डोमेन तक कैसे पहुँचेगा। सत्र के साथ गिरने वाला उपयोगकर्ता टनल उस एकमात्र रास्ते को हटा सकता है जिस पर आप भरोसा कर रहे थे, और तब न पुराना न नया पासवर्ड आपको लॉक स्क्रीन से पार ले जाएगा। विकल्प के रूप में स्थानीय प्रशासनिक खाता या आउट-ऑफ़-बैंड कंसोल रखें। रिकवरी चरण वहाँ लिखें जहाँ उपयोगकर्ता बिना साइन इन किए पहुँच सके।

सहायता के लिए चार तथ्य इकट्ठा करें: पासवर्ड कहाँ बदला, कौन-सा क्रेडेंशियल अब भी ऑफ़लाइन काम करता है, टनल से डोमेन कंट्रोलर पहुँच में है या नहीं, और लैपटॉप कौन-सी साइन-इन विधि इस्तेमाल करता है।

ये चार पुराने सत्यापनकर्ता को खाता लॉकआउट या अस्वीकृत VPN साइन-इन से अलग करते हैं, जो टिकट में एक जैसे दिखते हैं और उनके समाधान अलग हैं। लॉक किया गया खाता नया पासवर्ड ऑनलाइन भी अस्वीकार करेगा, इसलिए कैश को दोष देने से पहले उसे जाँचें।

एक ऑनलाइन साइन-इन से चक्र बंद करें

लक्ष्य है डोमेन पहुँच में होने पर एक समर्थित इंटरैक्टिव साइन-इन, और उसके बाद ज्ञात ऑफ़लाइन स्थिति। वही एक घटना सत्यापनकर्ता को रीफ़्रेश करती है और हर डिवाइस पर पासवर्ड बदलने का चक्र समाप्त करती है।

उसके बाद कैश किए गए लॉगऑन की संख्या और डोमेन कंट्रोलर लुकअप से स्थिति सत्यापित करें:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

यदि संख्या शून्य है, तो कैश लॉगऑन नीति से अक्षम है और पासवर्ड कितनी भी बार रीसेट करें, ऑफ़लाइन व्यवहार नहीं बदलेगा। यह स्वामी के साथ उठाने वाला नीति-निर्णय है, स्थानीय रूप से लागू करने का कोई उपाय नहीं।