도메인 노트북이 오프라인에서 예전 비밀번호를 받아들이는 이유

비밀번호 변경은 어디든 한꺼번에 적용되지만, 일주일 동안 오프라인이었던 그 한 대의 노트북만은 예외입니다. 웹메일은 새 비밀번호를 받아들이고 사무실의 데스크톱도 받아들이지만, VPN이 끊긴 동안 원격 컴퓨터는 여전히 예전 비밀번호로 로그인합니다. 이것은 두 번째 비밀번호도 아니고 디렉터리의 동기화 버그도 아닙니다. 캐시된 로그온 검증기가 설계된 대로 동작하는 것이며, 해결책은 재설정이 아니라 일련의 절차입니다.

노트북이 캐시된 검증기를 확인하고 있다

도메인에 가입된 Windows는 최근의 성공적인 대화형 로그온에 대한 로컬 검증기를 유지하여, 도메인 컨트롤러가 응답하지 않을 때도 컴퓨터가 부팅할 수 있게 합니다. 그 검증기는 해당 로그온 시점의 비밀번호에서 파생됩니다. 다른 곳에서 비밀번호를 바꾸면 디렉터리는 갱신되지만, 그 이후로 디렉터리와 통신하지 않은 노트북의 사본은 갱신되지 않습니다.

따라서 예전 비밀번호는 새로운 도메인 인증에는 유효하지 않으면서도 로컬 세션은 계속 열 수 있습니다. 이는 서로 다른 두 가지 관찰이며, 이를 혼동하면 재설정을 반복하게 됩니다.

다른 무엇을 바꾸기 전에 실제로 어떤 자격 증명이 사용되는지 확인하십시오. Windows Hello PIN, Entra ID 로그인, 기존 도메인 비밀번호는 서로 다른 메커니즘이며, 특히 PIN은 같은 데스크톱을 잠금 해제하더라도 도메인 비밀번호가 아닙니다.

네트워크 인증은 대화형 로그온이 아니다

새 비밀번호로 파일 공유를 여는 것은 네트워크 경로가 작동함을 증명합니다. 그러나 대화형 로그온 캐시는 갱신하지 않습니다. Windows가 네트워크 인증과 대화형 인증을 별도의 상태를 가진 별개의 작업으로 취급하기 때문입니다.

검증기는 대화형 로그온이 실제로 도메인 컨트롤러에 연결될 때만 갱신됩니다. 매핑된 드라이브나 Outlook 프롬프트는 그렇게 하지 않습니다.

이 차이가 흔한 보고를 설명합니다. 사용자는 메일을 읽고 인트라넷을 열 수 있지만 잠금 화면은 여전히 예전 비밀번호를 요구합니다. 또한 로그인 후에 시작한 VPN이 최초 로그온에 도움이 되지 않는 이유도 설명합니다. 터널은 결정이 이미 로컬에서 내려진 뒤에 도착하기 때문입니다.

적절한 시점에 한 번의 온라인 로그인을 확보하라

캐시는 도메인에 도달할 수 있는 상태에서 사용자가 대화형으로 로그인할 때 갱신됩니다. 원격 컴퓨터의 경우 자격 증명이 평가되기 전에 터널이 존재해야 하며, 데스크톱이 나타난 뒤에는 늦습니다.

배포가 로그온 전 연결이나 장치 터널을 지원하는지 확인하십시오. 이들은 바로 이 시점을 위해 설계되었으며, 사용자 터널로는 대체할 수 없습니다:

nltest /dsgetdc:corp.example
klist

엔드포인트에 로그온 전 경로가 없다면 조직이 문서화한 지원되는 복구 절차를 사용하십시오. 일부 환경은 잠금 화면에서 터널을 열어 둔 채 연결, 잠금, 해제 순서를 사용하고, 다른 환경은 장치를 관리되는 복구 단계로 보냅니다. 클라이언트에 맞는 쪽을 따르고, 의존하기 전에 터널이 잠금 화면을 넘어 유지되는지 확인하십시오.

돌아오는 길을 보호하라

원격 컴퓨터에서 로그아웃하기 전에 다음 로그인이 어떻게 도메인에 도달할지 결정하십시오. 세션과 함께 끊기는 사용자 터널은 의지하던 유일한 경로를 없앨 수 있으며, 그러면 예전 비밀번호도 새 비밀번호도 잠금 화면을 통과하지 못합니다. 대안으로 로컬 관리자 계정이나 대역 외 콘솔을 유지하십시오. 복구 절차는 사용자가 로그인하지 않고도 볼 수 있는 곳에 적어 두십시오.

지원을 위해 네 가지 사실을 수집하십시오. 비밀번호를 어디서 바꿨는지, 어떤 자격 증명이 오프라인에서도 작동하는지, 터널을 통해 도메인 컨트롤러에 도달할 수 있는지, 노트북이 어떤 로그인 방식을 쓰는지입니다.

이 네 가지가 오래된 검증기와 계정 잠금 또는 거부된 VPN 로그인을 구분합니다. 티켓에서는 비슷해 보이지만 해결책은 다릅니다. 잠긴 계정은 온라인에서도 새 비밀번호를 거부하므로, 캐시를 탓하기 전에 그것을 시험해 보십시오.

한 번의 온라인 로그인으로 고리를 닫아라

목표는 도메인에 도달할 수 있을 때 지원되는 대화형 로그인을 한 번 수행하고, 그 뒤에 알려진 오프라인 상태를 두는 것입니다. 그 한 번의 사건이 검증기를 갱신하고 모든 장치에서 비밀번호를 바꾸는 순환을 끝냅니다.

그 뒤 캐시된 로그온 수와 도메인 컨트롤러 조회로 상태를 확인하십시오:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

수가 영이라면 캐시 로그온이 정책으로 비활성화된 것이며, 비밀번호를 몇 번 재설정하든 오프라인 동작은 바뀌지 않습니다. 이는 소유자와 논의할 정책 결정이지 로컬에서 적용할 우회 방법이 아닙니다.