Hvers vegna lénsfartölva samþykkir gamla lykilorðið ótengt

Lykilorðsbreyting berst alls staðar á sama tíma, nema á þeirri einu fartölvu sem hefur verið ótengd í eina viku. Vefpósturinn tekur við nýja lykilorðinu, skrifborðstölva á skrifstofunni tekur við því, og fjartölvan skráir sig samt inn með því gamla þegar VPN er niðri. Þetta er ekki annað lykilorð og ekki samstillingarvilla í skránni. Þetta er skyndiminnið innskráningarstaðfesti sem gerir það sem það var hannað fyrir, og lausnin er röð skrefa, ekki endurstilling.

Fartölvan athugar staðfesti í skyndiminni

Windows sem er tengt léni heldur staðbundnu staðfesti fyrir nýlegar farsælar gagnvirkar innskráningar, svo vélin geti ræst þegar enginn lénstýring svarar. Það staðfesti er leitt af lykilorðinu eins og það var við þá innskráningu. Að breyta lykilorðinu annars staðar uppfærir skrána, en ekki afritið á fartölvu sem hefur ekki talað við hana síðan.

Þannig getur gamla lykilorðið enn opnað staðbundna lotuna þótt það sé ógilt fyrir hverja nýja lénsauðkenningu. Þetta eru tvær ólíkar athuganir, og að rugla þeim saman leiðir til endurtekinna endurstillinga.

Staðfestu hvaða skilríki eru í raun í notkun áður en þú breytir einhverju öðru. PIN í Windows Hello, innskráning með Entra ID og hefðbundið lénslykilorð eru aðskildar aðferðir, og PIN er sérstaklega ekki lénslykilorðið þótt það opni sama skrifborð.

Netauðkenning er ekki gagnvirk innskráning

Að opna skráardeilingu með nýja lykilorðinu sannar að netleiðin virki. Það endurnýjar ekki skyndiminni gagnvirkrar innskráningar, því Windows meðhöndlar net- og gagnvirka auðkenningu sem aðskildar aðgerðir með aðskilið ástand.

Staðfestirinn endurnýjast aðeins þegar gagnvirk innskráning hefur í raun samband við lénstýringu; tengdur drifur eða Outlook-ábending gerir það ekki.

Þessi greinarmunur skýrir venjulegu skýrsluna: notandinn getur lesið póst og opnað innra netið, en læsingarskjárinn krefst enn gamla lykilorðsins. Hann skýrir líka hvers vegna VPN sem ræst er eftir innskráningu getur ekki hjálpað fyrstu innskráningunni, því göngin koma eftir að ákvörðunin hefur þegar verið tekin staðbundið.

Fáðu eina netinnskráningu á réttu augnabliki

Skyndiminnið endurnýjast þegar notandinn skráir sig inn á gagnvirkan hátt meðan lénið er aðgengilegt. Fyrir fjartölvu þýðir það að göngin verða að vera til áður en skilríkin eru metin, ekki eftir að skrifborðið birtist.

Athugaðu hvort uppsetningin styðji tengingu fyrir innskráningu eða tækjagöng. Þau eru hönnuð fyrir þennan tímapunkt, og notandagöng koma ekki í þeirra stað:

nltest /dsgetdc:corp.example
klist

Ef endapunkturinn hefur enga leið fyrir innskráningu skaltu nota það studda endurheimtunarferli sem stofnunin skjalfestir. Sum umhverfi nota röð tengja, læsa og opna með göngunum haldnum opnum á læsingarskjánum; önnur senda tækið í stýrt endurheimtuskref. Fylgdu því sem hentar biðlarann, og áður en þú treystir á það skaltu staðfesta að göngin lifi læsingarskjáinn af.

Verndaðu leiðina til baka

Áður en þú skráir þig út af fjartölvu skaltu ákveða hvernig næsta innskráning nær léninu. Notandagöng sem falla með lotunni geta fjarlægt einu leiðina sem þú reiknaðir með, og þá kemur hvorki gamla né nýja lykilorðið þér framhjá læsingarskjánum. Hafðu staðbundinn stjórnandaaðgang eða stjórnborð utan bands sem varaleið. Skrifaðu endurheimtuskrefið niður þar sem notandinn nær því án innskráningar.

Fyrir stuðning skaltu safna fjórum staðreyndum: hvar lykilorðinu var breytt, hvaða skilríki virka enn ótengt, hvort lénstýring er aðgengileg um göngin, og hvaða innskráningaraðferð fartölvan notar.

Þessi fjögur aðskilja úreltan staðfesti frá aðgangslokun eða hafnaðri VPN-innskráningu, sem líta svipað út í miða og hafa ólíkar lausnir. Lokaður aðgangur hafnar nýja lykilorðinu líka á netinu, svo prófaðu það áður en þú kennir skyndiminninu um.

Lokaðu hringnum með einni netinnskráningu

Markmiðið er ein studd gagnvirk innskráning meðan lénið er aðgengilegt, og því næst þekkt ótengt ástand. Þessi eina atburður endurnýjar staðfestinn og bindur enda á hringinn að breyta lykilorðinu á hverju tæki.

Staðfestu ástandið eftir á með fjölda skyndiminniðra innskráninga og leit að lénstýringu:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ef fjöldinn er núll er skyndiminnið innskráning óvirkjuð af stefnu og ótengda hegðunin mun ekki breytast, sama hversu oft lykilorðið er endurstillt. Þetta er stefnuákvörðun sem á að leggja fyrir eigandann, ekki leið framhjá sem á að beita staðbundið.