Kāpēc domēna klēpjdators bezsaistē pieņem veco paroli

Paroles maiņa nonāk visur uzreiz, izņemot to vienu klēpjdatoru, kas nedēļu bija bezsaistē. Tīmekļa pasts pieņem jauno paroli, biroja galddators to pieņem, un attālinātā iekārta joprojām piesakās ar veco, kad VPN ir izslēgts. Tā nav otra parole un nav direktorija sinhronizācijas kļūda. Tas ir kešatmiņā saglabātais pieteikšanās verificētājs, kas dara to, kam tas radīts, un risinājums ir soļu secība, nevis atiestatīšana.

Klēpjdators pārbauda kešatmiņā saglabāto verificētāju

Domēnam pievienotā Windows glabā lokālu verificētāju nesenām veiksmīgām interaktīvām pieteikšanās reizēm, lai iekārta varētu startēt, kad neatbild neviens domēna kontrolieris. Šis verificētājs tiek atvasināts no paroles tādas, kāda tā bija tajā pieteikšanās reizē. Paroles maiņa citur atjaunina direktoriju, nevis kopiju klēpjdatorā, kas kopš tā laika ar to nav sazinājies.

Tāpēc vecā parole joprojām var atvērt lokālo sesiju, lai gan tā nav derīga nevienai jaunai domēna autentifikācijai. Tie ir divi dažādi novērojumi, un to sajaukšana noved pie atkārtotām atiestatīšanām.

Pirms kaut kā cita maiņas pārliecinieties, kuri akreditācijas dati patiešām tiek izmantoti. Windows Hello PIN, pieteikšanās ar Entra ID un tradicionālā domēna parole ir atsevišķi mehānismi, un tieši PIN nav domēna parole, pat ja tas atslēdz to pašu darbvirsmu.

Tīkla autentifikācija nav interaktīva pieteikšanās

Failu koplietojuma atvēršana ar jauno paroli pierāda, ka tīkla ceļš darbojas. Taču tas neatjaunina interaktīvās pieteikšanās kešatmiņu, jo Windows tīkla un interaktīvo autentifikāciju uzskata par atsevišķām operācijām ar atsevišķu stāvokli.

Verificētājs atjauninās tikai tad, kad interaktīvā pieteikšanās patiešām sazinās ar domēna kontrolieri; pievienotais disks vai Outlook uzaicinājums to nedara.

Šī atšķirība izskaidro ierasto ziņojumu: lietotājs var lasīt pastu un atvērt intranetu, bet bloķēšanas ekrāns joprojām prasa veco paroli. Tā arī izskaidro, kāpēc VPN, kas palaists pēc pieteikšanās, nevar palīdzēt sākotnējai pieteikšanās reizei, jo tunelis ierodas pēc tam, kad lēmums jau ir pieņemts lokāli.

Iegūstiet vienu tiešsaistes pieteikšanos īstajā brīdī

Kešatmiņa atjauninās, kad lietotājs piesakās interaktīvi, kamēr domēns ir sasniedzams. Attālinātai iekārtai tas nozīmē, ka tunelim jāpastāv pirms akreditācijas datu novērtēšanas, nevis pēc tam, kad parādās darbvirsma.

Pārbaudiet, vai izvietojums atbalsta savienojumu pirms pieteikšanās vai ierīces tuneli. Tie ir paredzēti tieši šim laikam, un lietotāja tunelis tos neaizstāj:

nltest /dsgetdc:corp.example
klist

Ja galapunktam nav ceļa pirms pieteikšanās, izmantojiet atbalstīto atkopšanas procesu, ko dokumentē organizācija. Dažās vidēs izmanto secību savienot, bloķēt un atbloķēt, turot tuneli atvērtu bloķēšanas ekrānā; citas sūta ierīci uz pārvaldītu atkopšanas soli. Ievērojiet to, kas atbilst klientam, un pirms paļaušanās pārliecinieties, ka tunelis pārdzīvo bloķēšanas ekrānu.

Aizsargājiet atceļu

Pirms izrakstīšanās no attālinātās iekārtas izlemiet, kā nākamā pieteikšanās sasniegs domēnu. Lietotāja tunelis, kas nokrīt kopā ar sesiju, var likvidēt vienīgo ceļu, uz kuru paļāvāties, un tad ne vecā, ne jaunā parole nepalīdzēs tikt garām bloķēšanas ekrānam. Turiet lokālu administratora kontu vai ārpusjoslas konsoli kā rezerves variantu. Pierakstiet atkopšanas soli tur, kur lietotājs to var sasniegt bez pieteikšanās.

Atbalstam apkopojiet četrus faktus: kur parole tika nomainīta, kuri akreditācijas dati joprojām darbojas bezsaistē, vai domēna kontrolieris ir sasniedzams caur tuneli un kādu pieteikšanās metodi klēpjdators izmanto.

Šie četri atdala novecojušu verificētāju no konta bloķēšanas vai noraidītas VPN pieteikšanās, kas biļetē izskatās līdzīgi un kuriem ir atšķirīgi risinājumi. Bloķēts konts noraidīs jauno paroli arī tiešsaistē, tāpēc pārbaudiet to pirms kešatmiņas vainošanas.

Noslēdziet loku ar vienu tiešsaistes pieteikšanos

Mērķis ir viena atbalstīta interaktīva pieteikšanās, kamēr domēns ir sasniedzams, un pēc tam zināms bezsaistes stāvoklis. Šis vienīgais notikums atjaunina verificētāju un izbeidz ciklu, kurā parole jāmaina katrā ierīcē.

Pēc tam pārbaudiet stāvokli ar kešatmiņā saglabāto pieteikšanos skaitu un domēna kontroliera meklēšanu:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ja skaits ir nulle, kešatmiņā saglabātā pieteikšanās ir atslēgta ar politiku un bezsaistes uzvedība nemainīsies, lai cik reižu parole tiktu atiestatīta. Tas ir politikas lēmums, kas jāceļ pie īpašnieka, nevis lokāli piemērojams apvedceļš.