რატომ იღებს დომენური ლეპტოპი ძველ პაროლს ოფლაინში

პაროლის ცვლილება ერთდროულად ყველგან აღწევს, გარდა იმ ერთი ლეპტოპისა, რომელიც ერთი კვირა ოფლაინში იყო. ვებფოსტა ახალ პაროლს იღებს, ოფისის სამაგიდო კომპიუტერიც იღებს, ხოლო დისტანციური მანქანა მაინც ძველით შედის, როცა VPN გამორთულია. ეს არ არის მეორე პაროლი და არც კატალოგის სინქრონიზაციის ხარვეზი. ეს ქეშირებული შესვლის გადამმოწმებელი აკეთებს იმას, რისთვისაც შეიქმნა, და გადაწყვეტა ნაბიჯების თანმიმდევრობაა, არა აღდგენა.

ლეპტოპი ამოწმებს ქეშირებულ გადამმოწმებელს

დომენზე მიერთებული Windows ინახავს ლოკალურ გადამმოწმებელს ბოლო წარმატებული ინტერაქტიული შესვლებისთვის, რათა მანქანა ჩაიტვირთოს, როცა არცერთი დომენის კონტროლერი არ პასუხობს. ეს გადამმოწმებელი მიიღება იმ პაროლიდან, რომელიც იმ შესვლის დროს იყო. პაროლის სხვაგან შეცვლა აახლებს კატალოგს და არა ლეპტოპზე არსებულ ასლს, რომელსაც მას შემდეგ მასთან არ უსაუბრია.

ამრიგად, ძველ პაროლს ჯერ კიდევ შეუძლია ლოკალური სეანსის გახსნა, თუმცა ის ბათილია ნებისმიერი ახალი დომენური ავთენტიფიკაციისთვის. ეს ორი განსხვავებული დაკვირვებაა და მათი არევა განმეორებით აღდგენებამდე მივყავართ.

სანამ სხვა რამეს შეცვლით, დაადასტურეთ რომელი სამშენებლო მონაცემებია რეალურად გამოყენებაში. Windows Hello-ს PIN, Entra ID-ით შესვლა და ტრადიციული დომენური პაროლი ცალკეული მექანიზმებია, და PIN კერძოდ არ არის დომენური პაროლი, მაშინაც კი როცა იმავე სამუშაო მაგიდას ხსნის.

ქსელური ავთენტიფიკაცია არ არის ინტერაქტიული შესვლა

ფაილის გაზიარების გახსნა ახალი პაროლით ადასტურებს, რომ ქსელური გზა მუშაობს. ის არ აახლებს ინტერაქტიული შესვლის ქეშს, რადგან Windows ქსელურ და ინტერაქტიულ ავთენტიფიკაციას ცალკე მდგომარეობის მქონე ცალკე ოპერაციებად განიხილავს.

გადამმოწმებელი ახლდება მხოლოდ მაშინ, როცა ინტერაქტიული შესვლა რეალურად დაუკავშირდება დომენის კონტროლერს; დამაგრებული დისკი ან Outlook-ის შეტყობინება ამას არ აკეთებს.

ეს განსხვავება ხსნის ჩვეულ ჩივილს: მომხმარებელს შეუძლია ფოსტის წაკითხვა და ინტრანეტის გახსნა, მაგრამ ჩაკეტვის ეკრანი კვლავ ძველ პაროლს ითხოვს. ის ასევე ხსნის, რატომ ვერ დაეხმარება შესვლის შემდეგ გაშვებული VPN საწყის შესვლას, რადგან გვირაბი მაშინ მოდის, როცა გადაწყვეტილება უკვე ლოკალურად მიღებულია.

მიიღეთ ერთი ონლაინ შესვლა სწორ მომენტში

ქეში ახლდება, როცა მომხმარებელი ინტერაქტიულად შედის და დომენი ხელმისაწვდომია. დისტანციური მანქანისთვის ეს ნიშნავს, რომ გვირაბი უნდა არსებობდეს სანამ სამშენებლო მონაცემები შეფასდება და არა მას შემდეგ, რაც სამუშაო მაგიდა გამოჩნდება.

შეამოწმეთ, მხარს უჭერს თუ არა განლაგება შესვლამდე კავშირს ან მოწყობილობის გვირაბს. ისინი სწორედ ამ დროისთვისაა შექმნილი და მომხმარებლის გვირაბი მათ არ ცვლის:

nltest /dsgetdc:corp.example
klist

თუ საბოლოო წერტილს შესვლამდე გზა არ აქვს, გამოიყენეთ ორგანიზაციის მიერ დოკუმენტირებული მხარდაჭერილი აღდგენის პროცესი. ზოგი გარემო იყენებს დაკავშირების, ჩაკეტვის და გახსნის თანმიმდევრობას გვირაბის ჩაკეტვის ეკრანზე ღიად შენახვით; სხვები მოწყობილობას მართულ აღდგენის საფეხურზე აგზავნიან. მიჰყევით კლიენტთან შესაბამისს და სანამ დაეყრდნობით, დაადასტურეთ, რომ გვირაბი ჩაკეტვის ეკრანს გადაურჩება.

დაიცავით უკან დაბრუნების გზა

სანამ დისტანციური მანქანიდან გახვიდეთ, გადაწყვიტეთ როგორ მიაღწევს შემდეგი შესვლა დომენამდე. მომხმარებლის გვირაბი, რომელიც სეანსთან ერთად ვარდება, შეიძლება წაშალოს ერთადერთი გზა, რომელსაც ეყრდნობოდით, და მაშინ არც ძველი და არც ახალი პაროლი არ გაგატარებთ ჩაკეტვის ეკრანს. სათადარიგოდ შეინახეთ ლოკალური ადმინისტრატორის ანგარიში ან ზოლგარე კონსოლი. ჩაწერეთ აღდგენის ნაბიჯი იქ, სადაც მომხმარებელი შესვლის გარეშე მიაღწევს.

მხარდაჭერისთვის შეაგროვეთ ოთხი ფაქტი: სად შეიცვალა პაროლი, რომელი სამშენებლო მონაცემები მუშაობს ჯერ კიდევ ოფლაინში, ხელმისაწვდომია თუ არა დომენის კონტროლერი გვირაბით და რომელ შესვლის მეთოდს იყენებს ლეპტოპი.

ეს ოთხი ყოფს მოძველებულ გადამმოწმებელს ანგარიშის ჩაკეტვისგან ან უარყოფილი VPN შესვლისგან, რომლებიც ბილეთში მსგავსად გამოიყურება და განსხვავებული გადაწყვეტა აქვს. ჩაკეტილი ანგარიში ახალ პაროლს ონლაინშიც უარყოფს, ამიტომ ეს შეამოწმეთ სანამ ქეშს დაადანაშაულებთ.

დახურეთ წრე ერთი ონლაინ შესვლით

მიზანია ერთი მხარდაჭერილი ინტერაქტიული შესვლა, სანამ დომენი ხელმისაწვდომია, და შემდეგ ცნობილი ოფლაინ მდგომარეობა. სწორედ ეს ერთი მოვლენა აახლებს გადამმოწმებელს და ამთავრებს ყოველ მოწყობილობაზე პაროლის შეცვლის ციკლს.

შემდეგ შეამოწმეთ მდგომარეობა ქეშირებული შესვლების რაოდენობით და დომენის კონტროლერის ძიებით:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

თუ რაოდენობა ნულია, ქეშირებული შესვლა პოლიტიკით გამორთულია და ოფლაინ ქცევა არ შეიცვლება, რამდენჯერაც არ უნდა აღდგეს პაროლი. ეს პოლიტიკის გადაწყვეტილებაა, რომელიც მფლობელთან უნდა დააყენოთ და არა ლოკალურად გამოსაყენებელი გვერდის ავლა.