Mengapa komputer riba domain menerima kata laluan lama di luar talian

Perubahan kata laluan sampai ke semua tempat serentak, kecuali pada satu komputer riba yang offline selama seminggu. Webmel menerima kata laluan baharu, komputer meja di pejabat menerimanya, dan mesin jauh masih log masuk dengan kata laluan lama apabila VPN mati. Ini bukan kata laluan kedua dan bukan pepijat penyegerakan dalam direktori. Ini ialah pengesah log masuk yang dicache melakukan apa yang direka untuknya, dan penyelesaiannya ialah urutan langkah, bukan set semula.

Komputer riba menyemak pengesah yang dicache

Windows yang disertai domain menyimpan pengesah setempat untuk log masuk interaktif yang berjaya baru-baru ini, supaya mesin boleh but apabila tiada pengawal domain menjawab. Pengesah itu diterbitkan daripada kata laluan seperti yang ada pada log masuk itu. Menukar kata laluan di tempat lain mengemas kini direktori, bukan salinan pada komputer riba yang tidak berkomunikasi dengannya sejak itu.

Jadi kata laluan lama masih boleh membuka sesi setempat walaupun tidak sah untuk sebarang pengesahan domain baharu. Itu dua pemerhatian berbeza, dan mencampurkannya membawa kepada set semula berulang.

Sahkan kelayakan mana yang sebenarnya digunakan sebelum mengubah apa-apa lagi. PIN Windows Hello, log masuk Entra ID dan kata laluan domain tradisional ialah mekanisme berasingan, dan PIN khususnya bukan kata laluan domain walaupun ia membuka desktop yang sama.

Pengesahan rangkaian bukan log masuk interaktif

Membuka kongsi fail dengan kata laluan baharu membuktikan laluan rangkaian berfungsi. Ia tidak menyegarkan cache log masuk interaktif, kerana Windows menganggap pengesahan rangkaian dan interaktif sebagai operasi berasingan dengan keadaan berasingan.

Pengesah hanya disegarkan apabila log masuk interaktif benar-benar menghubungi pengawal domain; pemacu yang dipetakan atau gesaan Outlook tidak melakukannya.

Perbezaan itu menjelaskan aduan biasa: pengguna boleh membaca mel dan membuka intranet, tetapi skrin kunci masih meminta kata laluan lama. Ia juga menjelaskan mengapa VPN yang dimulakan selepas log masuk tidak dapat membantu log masuk awal, kerana terowong tiba selepas keputusan sudah dibuat secara setempat.

Dapatkan satu log masuk dalam talian pada masa yang tepat

Cache disegarkan apabila pengguna log masuk secara interaktif semasa domain boleh dicapai. Bagi mesin jauh, ini bermakna terowong mesti wujud sebelum kelayakan dinilai, bukan selepas desktop muncul.

Semak sama ada penggunaan menyokong sambungan pra-log masuk atau terowong peranti. Kedua-duanya direka untuk masa ini, dan terowong pengguna bukan penggantinya:

nltest /dsgetdc:corp.example
klist

Jika titik akhir tiada laluan pra-log masuk, gunakan proses pemulihan yang disokong yang didokumenkan oleh organisasi. Sesetengah persekitaran menggunakan urutan sambung, kunci dan buka kunci dengan terowong dikekalkan terbuka pada skrin kunci; yang lain menghantar peranti ke langkah pemulihan terurus. Ikuti yang sesuai dengan klien, dan sebelum bergantung padanya, sahkan terowong bertahan melepasi skrin kunci.

Lindungi jalan pulang

Sebelum log keluar dari mesin jauh, tentukan bagaimana log masuk seterusnya akan mencapai domain. Terowong pengguna yang tumbang bersama sesi boleh menghapuskan satu-satunya laluan yang anda harapkan, dan kemudian kata laluan lama atau baharu tidak akan melepaskan anda melepasi skrin kunci. Simpan akaun pentadbir setempat atau konsol luar jalur sebagai sandaran. Tuliskan langkah pemulihan di tempat pengguna boleh mencapainya tanpa log masuk.

Untuk sokongan, kumpulkan empat fakta: di mana kata laluan diubah, kelayakan mana yang masih berfungsi di luar talian, sama ada pengawal domain boleh dicapai melalui terowong, dan kaedah log masuk yang digunakan oleh komputer riba.

Keempat-empat memisahkan pengesah lapuk daripada penguncian akaun atau log masuk VPN yang ditolak, yang kelihatan serupa dalam tiket dan mempunyai pembetulan berbeza. Akaun terkunci akan menolak kata laluan baharu dalam talian juga, jadi ujilah perkara itu sebelum menyalahkan cache.

Tutup gelung dengan satu log masuk dalam talian

Matlamatnya ialah satu log masuk interaktif yang disokong semasa domain boleh dicapai, diikuti keadaan luar talian yang diketahui. Peristiwa tunggal itu menyegarkan pengesah dan menamatkan kitaran menukar kata laluan pada setiap peranti.

Sahkan keadaan selepas itu dengan bilangan log masuk yang dicache dan carian pengawal domain:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Jika bilangannya sifar, log masuk yang dicache dilumpuhkan oleh dasar dan tingkah laku luar talian tidak akan berubah, berapa kali pun kata laluan ditetapkan semula. Itu keputusan dasar yang perlu dibangkitkan dengan pemilik, bukan jalan pintas untuk digunakan secara setempat.