Miért fogadja el egy tartományi laptop a régi jelszót offline

A jelszóváltozás egyszerre mindenhol megjelenik, kivéve azon az egy laptopon, amely egy hétig offline volt. A webmail elfogadja az új jelszót, az irodai asztali gép is elfogadja, a távoli gép pedig továbbra is a régivel jelentkezik be, amikor a VPN le van állva. Ez nem második jelszó, és nem is a könyvtár szinkronizációs hibája. Ez a gyorsítótárazott bejelentkezési ellenőrző teszi azt, amire tervezték, és a megoldás egy lépéssor, nem egy visszaállítás.

A laptop egy gyorsítótárazott ellenőrzőt vizsgál

A tartományhoz csatlakoztatott Windows helyi ellenőrzőt tart a legutóbbi sikeres interaktív bejelentkezésekhez, hogy a gép elindulhasson, amikor egyetlen tartományvezérlő sem válaszol. Ezt az ellenőrzőt abból a jelszóból származtatja, amely annál a bejelentkezésnél érvényben volt. A jelszó máshol történő megváltoztatása a könyvtárat frissíti, nem a laptopon lévő példányt, amely azóta nem beszélt vele.

Így a régi jelszó továbbra is megnyithatja a helyi munkamenetet, miközben minden új tartományi hitelesítéshez érvénytelen. Ez két különböző megfigyelés, és összekeverésük ismételt visszaállításokhoz vezet.

Minden más módosítása előtt erősítse meg, melyik hitelesítő adat van valójában használatban. A Windows Hello PIN, az Entra ID-s bejelentkezés és a hagyományos tartományi jelszó külön mechanizmusok, és a PIN különösen nem a tartományi jelszó, még akkor sem, ha ugyanazt az asztalt oldja fel.

A hálózati hitelesítés nem interaktív bejelentkezés

Egy fájlmegosztás megnyitása az új jelszóval bizonyítja, hogy a hálózati útvonal működik. Ez nem frissíti az interaktív bejelentkezés gyorsítótárát, mert a Windows a hálózati és az interaktív hitelesítést különálló műveletként, különálló állapottal kezeli.

Az ellenőrző csak akkor frissül, amikor egy interaktív bejelentkezés ténylegesen kapcsolatba lép egy tartományvezérlővel; egy csatlakoztatott meghajtó vagy egy Outlook-ablak nem teszi ezt.

Ez a különbség magyarázza a szokásos bejelentést: a felhasználó tud levelet olvasni és megnyitni az intranetet, a zárolási képernyő mégis a régi jelszót kéri. Azt is megmagyarázza, miért nem segíthet a bejelentkezés után indított VPN a kezdeti bejelentkezésen, hiszen az alagút akkor érkezik meg, amikor a döntés már helyben megszületett.

Szerezzen egy online bejelentkezést a megfelelő pillanatban

A gyorsítótár akkor frissül, amikor a felhasználó interaktívan bejelentkezik, miközben a tartomány elérhető. Távoli gépnél ez azt jelenti, hogy az alagútnak léteznie kell a hitelesítő adat értékelése előtt, nem azután, hogy megjelenik az asztal.

Ellenőrizze, hogy a telepítés támogat-e bejelentkezés előtti kapcsolatot vagy eszközalagutat. Ezeket pont erre az időzítésre tervezték, és a felhasználói alagút nem helyettesíti őket:

nltest /dsgetdc:corp.example
klist

Ha a végpontnak nincs bejelentkezés előtti útvonala, használja azt a támogatott helyreállítási folyamatot, amelyet a szervezet dokumentál. Egyes környezetek a csatlakozás, zárolás és feloldás sorozatát használják úgy, hogy az alagút nyitva marad a zárolási képernyőn; mások felügyelt helyreállítási lépésre küldik az eszközt. Azt kövesse, amelyik illik az ügyfélhez, és mielőtt támaszkodna rá, erősítse meg, hogy az alagút túléli a zárolási képernyőt.

Védje meg a visszautat

Mielőtt kijelentkezik egy távoli gépről, döntse el, hogyan éri el a következő bejelentkezés a tartományt. Egy munkamenettel együtt leomló felhasználói alagút eltávolíthatja az egyetlen útvonalat, amelyre számított, és akkor sem a régi, sem az új jelszó nem viszi át a zárolási képernyőn. Tartson helyi rendszergazdai fiókot vagy sávon kívüli konzolt tartalékként. Írja le a helyreállítási lépést ott, ahol a felhasználó bejelentkezés nélkül elérheti.

A támogatáshoz gyűjtsön négy tényt: hol változott a jelszó, melyik hitelesítő adat működik még offline, elérhető-e egy tartományvezérlő az alagúton keresztül, és melyik bejelentkezési módszert használja a laptop.

Ez a négy választja el az elavult ellenőrzőt a fiókzárolástól vagy az elutasított VPN-bejelentkezéstől, amelyek egy jegyben hasonlónak tűnnek, és különböző javítást igényelnek. Egy zárolt fiók online is elutasítja az új jelszót, ezért ezt tesztelje, mielőtt a gyorsítótárat hibáztatná.

Zárja le a kört egy online bejelentkezéssel

A cél egy támogatott interaktív bejelentkezés, miközben a tartomány elérhető, majd egy ismert offline állapot. Ez az egyetlen esemény frissíti az ellenőrzőt, és véget vet annak a körnek, hogy minden eszközön módosítani kell a jelszót.

Ezután ellenőrizze az állapotot a gyorsítótárazott bejelentkezések számával és egy tartományvezérlő-kereséssel:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ha a szám nulla, a gyorsítótárazott bejelentkezést házirend tiltotta le, és az offline viselkedés nem változik, akárhányszor állítják vissza a jelszót. Ez házirend-döntés, amelyet a tulajdonosnál kell felvetni, nem helyben alkalmazható megkerülés.