Firwat en Domain-Laptop dat aalt Passwuert offline akzeptéiert

Eng Passwuertännerung kënnt iwwerall gläichzäiteg un, ausser op deem ee Laptop, deen eng Woch offline war. Webmail hëlt dat neit Passwuert, en Desktop am Büro hëlt et och, an déi distant Maschinn mellt sech nach ëmmer mam ale Passwuert un, wann d'VPN aus ass. Dat ass keen zweete Passwuert an och kee Synchronisatiounsfeeler am Verzeechnis. Et ass de gecachte Login-Verifizéierer, deen dat mécht, wofir hie gebaut gouf, an d'Léisung ass eng Rei vu Schrëtt, net en Zrécksetzen.

De Laptop kontrolléiert en gecachte Verifizéierer

Domain-verbonne Windows hält en lokale Verifizéierer fir rezent erfollegräich interaktiv Login, sou datt d'Maschinn starte kann, wann keen Domain-Controller äntwert. Dee Verifizéierer gëtt aus dem Passwuert ofgeleet, wéi et bei deem Login war. D'Passwuert soss änneren aktualiséiert d'Verzeechnis, net d'Kopie op engem Laptop, deen zënterhier net mat him geschwat huet.

Sou kann dat aalt Passwuert nach ëmmer déi lokal Sessioun opmaachen, och wann et fir all nei Domain-Authentifikatioun ongülteg ass. Dat sinn zwou verschidden Observatiounen, an hir Vermëschung féiert zu widderhuelte Zrécksetzen.

Bestätegt, wéi eng Umeldungsinformatioun tatsächlech am Spill ass, ier Dir eppes anescht ännert. Eng Windows Hello-PIN, eng Entra ID-Umeldung an en traditionellt Domain-Passwuert sinn getrennt Mechanismen, a besonnesch d'PIN ass net d'Domain-Passwuert, och wann se deen selwechten Desktop opmécht.

Netzwierk-Authentifikatioun ass keen interaktiven Login

Eng Dateifreigab mam neie Passwuert opzemaachen beweist, datt den Netzwierkwee funktionéiert. Et aktualiséiert awer net de Cache vum interaktiven Login, well Windows d'Netzwierk- an d'interaktiv Authentifikatioun als getrennt Operatioune mat getrenntem Zoustand behandelt.

De Verifizéierer gëtt nëmmen aktualiséiert, wann en interaktiven Login tatsächlech en Domain-Controller kontaktéiert; e gemappte Laufwierk oder eng Outlook-Ufro mécht dat net.

Dee Ënnerscheed erkläert de gewéinleche Rapport: de Benotzer kann Mail liesen an den Intranet opmaachen, awer de Sperrbildschierm wëll nach ëmmer dat aalt Passwuert. Et erkläert och, firwat eng VPN, déi nom Login gestart gëtt, der éischter Umeldung net hëllefe kann, well den Tunnel eréischt kënnt, nodeems d'Entscheedung scho lokal gefall ass.

Kritt eng Online-Umeldung am richtege Moment

De Cache gëtt aktualiséiert, wann de Benotzer sech interaktiv umellt, während den Domain erreechbar ass. Fir eng distant Maschinn heescht dat, den Tunnel muss existéieren, ier d'Umeldungsinformatioun bewäert gëtt, net nodeems den Desktop erschéngt.

Préift, ob d'Deployment Pre-Logon-Konnektivitéit oder en Apparat-Tunnel ënnerstëtzt. Déi sinn genau fir dësen Timing gebaut, an en Benotzer-Tunnel ass keen Ersatz:

nltest /dsgetdc:corp.example
klist

Wann den Endpunkt kee Wee virum Login huet, benotzt deen ënnerstëtzten Erhuelungsprozess, deen d'Organisatioun dokumentéiert. E puer Ëmfeld benotze eng Rei vu Verbinden, Spären an Opmaachen, woubäi den Tunnel um Sperrbildschierm op bleift; anerer schécken den Apparat an eng verwalt Erhuelungsstuf. Follegt deem, wat zum Client passt, a bestätegt, ier Dir drop verloosst, datt den Tunnel de Sperrbildschierm iwwerlieft.

Séchert de Wee zréck

Ier Dir Iech vun enger distanter Maschinn ofmellt, entscheet, wéi déi nächst Umeldung den Domain erreecht. En Benotzer-Tunnel, dee mat der Sessioun fält, kann deen eenzege Wee ewech huelen, op deen Dir gezielt hutt, an dann bréngt Iech weder dat aalt nach dat neit Passwuert um Sperrbildschierm laanscht. Halt e lokale Administratorenkont oder eng Out-of-Band-Konsol als Réckfall. Schreift d'Erhuelungsstuf dohin, wou de Benotzer se ouni Umeldung erreeche kann.

Sammelt fir den Support véier Fakten: wou d'Passwuert geännert gouf, wéi eng Umeldungsinformatioun nach offline funktionéiert, ob en Domain-Controller iwwer den Tunnel erreechbar ass, a wéi eng Umeldungsmethod de Laptop benotzt.

Dës véier trennen en veralte Verifizéierer vun enger Kontsperr oder enger ofgeleenter VPN-Umeldung, déi an engem Ticket ähnlech ausgesinn an ënnerschiddlech Léisunge hunn. E gespaarte Kont weist dat neit Passwuert och online of, also test dat, ier Dir de Cache beschëllegt.

Maacht de Krees mat enger Online-Umeldung zou

D'Zil ass eng ënnerstëtzten interaktiv Umeldung, während den Domain erreechbar ass, gefollegt vun engem bekannten Offline-Zoustand. Dee eenzegen Evenement aktualiséiert de Verifizéierer an ennerhëlt de Krees, d'Passwuert op all Apparat ze änneren.

Iwwerpréift duerno den Zoustand mam Zuel vun de gecachte Login an enger Sich no dem Domain-Controller:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Wann d'Zuel null ass, ass de gecachte Login duerch Politik deaktivéiert an d'Offline-Verhalen ännert sech net, egal wéi oft d'Passwuert zréckgesat gëtt. Dat ass eng Politik-Entscheedung, déi beim Besëtzer opzebréngen ass, keen Ëmwee, dee lokal ugewannt gëtt.