ドメイン参加PCがオフラインで古いパスワードを受け付ける理由

パスワード変更はどこにでも一斉に届きますが、一週間オフラインだったあの一台のノートPCだけは別です。Webメールは新しいパスワードを受け付け、オフィスのデスクトップもそれを受け付けますが、VPNが落ちている間、遠隔のマシンは古いパスワードでサインインし続けます。これは二つ目のパスワードでも、ディレクトリの同期不具合でもありません。キャッシュされたログオン検証機構が、設計どおりに動いているだけであり、解決策はリセットではなく手順の順序です。

ノートPCはキャッシュされた検証機構を確認している

ドメイン参加したWindowsは、最近の対話型ログオンが成功したときの検証機構をローカルに保持し、ドメインコントローラーが応答しないときでも起動できるようにします。その検証機構は、そのログオン時点のパスワードから派生したものです。別の場所でパスワードを変更しても更新されるのはディレクトリであり、それ以降ディレクトリと通信していないノートPC上のコピーではありません。

したがって古いパスワードは、新たなドメイン認証には無効でありながら、ローカルセッションは開けたままになります。これは二つの別の観察であり、混同するとリセットを繰り返すことになります。

ほかを変更する前に、実際に使われている資格情報を確認してください。Windows HelloのPIN、Entra IDでのサインイン、従来のドメインパスワードは別々の仕組みであり、特にPINは同じデスクトップを解錠するとしてもドメインパスワードではありません。

ネットワーク認証は対話型ログオンではない

新しいパスワードでファイル共有を開けることは、ネットワーク経路が機能する証拠です。しかし対話型ログオンのキャッシュは更新されません。Windowsはネットワーク認証と対話型認証を、別々の状態を持つ別の操作として扱うからです。

検証機構が更新されるのは、対話型ログオンが実際にドメインコントローラーへ接続したときだけです。マップされたドライブやOutlookのプロンプトでは更新されません。

この区別がよくある報告を説明します。ユーザーはメールを読み、イントラネットを開けるのに、ロック画面は古いパスワードを求めるのです。また、サインイン後に起動したVPNが最初のログオンに役立たない理由も説明します。トンネルが届くのは、判断がすでにローカルで下された後だからです。

正しいタイミングで一回のオンラインサインインを得る

キャッシュは、ドメインに到達できる状態でユーザーが対話的にサインインしたときに更新されます。遠隔のマシンでは、資格情報が評価される前にトンネルが存在している必要があり、デスクトップが表示されてからでは遅すぎます。

展開がログオン前接続やデバイストンネルに対応しているかを確認してください。これらはこのタイミングのために設計されており、ユーザートンネルでは代用できません：

nltest /dsgetdc:corp.example
klist

エンドポイントにログオン前の経路がない場合は、組織が文書化しているサポート対象の復旧手順を使ってください。接続、ロック、解除の順に進め、ロック画面でもトンネルを開いたままにする環境もあれば、デバイスを管理された復旧手順へ送る環境もあります。クライアントに合う方に従い、依存する前にトンネルがロック画面を越えて維持されることを確認してください。

戻る道を守る

遠隔のマシンからサインアウトする前に、次のサインインがどうやってドメインに届くかを決めてください。セッションとともに切れるユーザートンネルは、頼りにしていた唯一の経路を失わせ、そうなると古いパスワードでも新しいパスワードでもロック画面を越えられません。代替としてローカル管理者アカウントか帯域外コンソールを用意してください。復旧手順は、ユーザーがサインインせずに参照できる場所に書き留めます。

サポートのために四つの事実を集めます。パスワードをどこで変更したか、どの資格情報がオフラインでも有効か、トンネル経由でドメインコントローラーに到達できるか、ノートPCがどのサインイン方式を使っているかです。

この四つが 古い検証機構と、アカウントのロックアウトや拒否されたVPNサインインとを切り分けます。どれもチケット上では似て見え、対処は異なります。ロックされたアカウントはオンラインでも新しいパスワードを拒否するので、キャッシュを疑う前にそれを試してください。

一回のオンラインサインインで輪を閉じる

目標は、ドメインに到達できるうちにサポート対象の対話型サインインを一回行い、その後で既知のオフライン状態にすることです。その一回の出来事が検証機構を更新し、すべての端末でパスワードを変え続ける循環を終わらせます。

その後、キャッシュされたログオン数とドメインコントローラーの検索で状態を確認します：

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

数がゼロなら、キャッシュログオンはポリシーで無効化されており、パスワードを何度リセットしてもオフライン時の動作は変わりません。これは所有者に提起すべきポリシーの判断であり、ローカルで適用する回避策ではありません。