Mengapa laptop domain menerima kata sandi lama saat offline

Perubahan kata sandi tiba di semua tempat sekaligus, kecuali di satu laptop yang seminggu offline. Webmail menerima kata sandi baru, komputer desktop di kantor menerimanya, dan mesin jarak jauh tetap masuk dengan kata sandi lama saat VPN mati. Ini bukan kata sandi kedua dan bukan bug sinkronisasi direktori. Ini adalah pemverifikasi logon yang di-cache melakukan apa yang memang dirancang untuk dilakukan, dan solusinya adalah urutan langkah, bukan reset.

Laptop memeriksa pemverifikasi yang di-cache

Windows yang tergabung dalam domain menyimpan pemverifikasi lokal untuk logon interaktif yang berhasil baru-baru ini, agar mesin dapat boot ketika tidak ada pengontrol domain yang menjawab. Pemverifikasi itu diturunkan dari kata sandi sebagaimana adanya pada logon tersebut. Mengubah kata sandi di tempat lain memperbarui direktori, bukan salinan di laptop yang sejak itu tidak berbicara dengannya.

Jadi kata sandi lama masih bisa membuka sesi lokal meskipun tidak valid untuk autentikasi domain baru mana pun. Itu dua pengamatan berbeda, dan mencampurnya menyebabkan reset berulang.

Pastikan kredensial mana yang sebenarnya dipakai sebelum mengubah hal lain. PIN Windows Hello, login Entra ID, dan kata sandi domain tradisional adalah mekanisme terpisah, dan PIN khususnya bukan kata sandi domain meskipun membuka desktop yang sama.

Autentikasi jaringan bukan logon interaktif

Membuka berbagi pakai dengan kata sandi baru membuktikan jalur jaringan berfungsi. Itu tidak menyegarkan cache logon interaktif, karena Windows memperlakukan autentikasi jaringan dan interaktif sebagai operasi terpisah dengan status terpisah.

Pemverifikasi hanya disegarkan ketika logon interaktif benar-benar menghubungi pengontrol domain; drive yang dipetakan atau prompt Outlook tidak melakukannya.

Perbedaan itu menjelaskan laporan yang biasa: pengguna bisa membaca email dan membuka intranet, tetapi layar kunci masih meminta kata sandi lama. Itu juga menjelaskan mengapa VPN yang dijalankan setelah login tidak dapat membantu logon awal, karena terowongan baru tiba setelah keputusan sudah dibuat secara lokal.

Dapatkan satu login online pada saat yang tepat

Cache disegarkan ketika pengguna login secara interaktif saat domain dapat dijangkau. Untuk mesin jarak jauh, itu berarti terowongan harus sudah ada sebelum kredensial dievaluasi, bukan setelah desktop muncul.

Periksa apakah penerapan mendukung konektivitas pra-logon atau terowongan perangkat. Keduanya dirancang untuk waktu ini, dan terowongan pengguna bukan penggantinya:

nltest /dsgetdc:corp.example
klist

Jika titik akhir tidak memiliki jalur pra-logon, gunakan proses pemulihan yang didukung yang didokumentasikan organisasi. Beberapa lingkungan memakai urutan sambungkan, kunci, dan buka kunci dengan terowongan tetap terbuka di layar kunci; yang lain mengirim perangkat ke langkah pemulihan terkelola. Ikuti yang sesuai dengan klien, dan sebelum mengandalkannya, pastikan terowongan bertahan melewati layar kunci.

Lindungi jalan kembali

Sebelum keluar dari mesin jarak jauh, putuskan bagaimana login berikutnya mencapai domain. Terowongan pengguna yang putus bersama sesi dapat menghapus satu-satunya jalur yang Anda andalkan, dan kemudian baik kata sandi lama maupun baru tidak akan membawa Anda melewati layar kunci. Simpan akun administratif lokal atau konsol out-of-band sebagai cadangan. Tuliskan langkah pemulihan di tempat yang dapat dijangkau pengguna tanpa login.

Untuk dukungan, kumpulkan empat fakta: di mana kata sandi diubah, kredensial mana yang masih berfungsi offline, apakah pengontrol domain dapat dijangkau melalui terowongan, dan metode login mana yang dipakai laptop.

Keempat memisahkan pemverifikasi basi dari penguncian akun atau login VPN yang ditolak, yang terlihat serupa di tiket dan punya perbaikan berbeda. Akun terkunci akan menolak kata sandi baru secara online juga, jadi ujilah itu sebelum menyalahkan cache.

Tutup lingkaran dengan satu login online

Tujuannya adalah satu logon interaktif yang didukung saat domain dapat dijangkau, diikuti keadaan offline yang diketahui. Peristiwa tunggal itu menyegarkan pemverifikasi dan mengakhiri siklus mengubah kata sandi di setiap perangkat.

Verifikasi keadaan setelahnya dengan jumlah logon yang di-cache dan pencarian pengontrol domain:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Jika jumlahnya nol, logon yang di-cache dinonaktifkan oleh kebijakan dan perilaku offline tidak akan berubah, berapa kali pun kata sandi direset. Itu keputusan kebijakan yang harus diangkat ke pemilik, bukan jalan pintas untuk diterapkan secara lokal.