Porque um portátil de domínio aceita a palavra-passe antiga offline

Uma alteração de palavra-passe chega a todo o lado ao mesmo tempo, exceto ao único portátil que esteve uma semana offline. O webmail aceita a nova palavra-passe, um computador de secretária no escritório também, e a máquina remota continua a iniciar sessão com a antiga quando a VPN está em baixo. Não é uma segunda palavra-passe nem um erro de sincronização do diretório. É o verificador de início de sessão em cache a fazer o que foi concebido para fazer, e a solução é uma sequência, não um reinício.

O portátil está a verificar um verificador em cache

O Windows associado a um domínio mantém um verificador local para os inícios de sessão interativos recentes bem-sucedidos, para que a máquina possa arrancar quando nenhum controlador de domínio responde. Esse verificador é derivado da palavra-passe tal como estava nesse início de sessão. Alterar a palavra-passe noutro local atualiza o diretório, não a cópia num portátil que não falou com ele desde então.

Assim, a palavra-passe antiga ainda pode abrir a sessão local, embora seja inválida para qualquer autenticação de domínio nova. São duas observações diferentes, e misturá-las leva a reinícios repetidos.

Confirme qual credencial está realmente em uso antes de alterar mais alguma coisa. Um PIN do Windows Hello, um início de sessão com Entra ID e uma palavra-passe de domínio tradicional são mecanismos separados, e o PIN em particular não é a palavra-passe do domínio mesmo quando desbloqueia o mesmo ambiente de trabalho.

A autenticação de rede não é início de sessão interativo

Abrir uma partilha de ficheiros com a nova palavra-passe prova que o caminho de rede funciona. Não atualiza a cache do início de sessão interativo, porque o Windows trata a autenticação de rede e a interativa como operações separadas com estado separado.

O verificador só é atualizado quando um início de sessão interativo contacta realmente um controlador de domínio; uma unidade mapeada ou um pedido do Outlook não o fazem.

Essa distinção explica o relato habitual: o utilizador pode ler o correio e abrir a intranet, mas o ecrã de bloqueio continua a pedir a palavra-passe antiga. Explica também porque é que uma VPN iniciada depois do início de sessão não pode ajudar o início inicial, já que o túnel chega depois de a decisão já ter sido tomada localmente.

Obtenha um início de sessão online no momento certo

A cache é atualizada quando o utilizador inicia sessão de forma interativa enquanto o domínio está acessível. Numa máquina remota, isso significa que o túnel tem de existir antes de a credencial ser avaliada, não depois de o ambiente de trabalho aparecer.

Verifique se a implementação suporta conectividade antes do início de sessão ou um túnel de dispositivo. Foram concebidos para este momento, e um túnel de utilizador não os substitui:

nltest /dsgetdc:corp.example
klist

Se o ponto final não tiver um caminho antes do início de sessão, use o processo de recuperação suportado que a organização documenta. Alguns ambientes usam uma sequência de ligar, bloquear e desbloquear com o túnel mantido aberto no ecrã de bloqueio; outros enviam o dispositivo para um passo de recuperação gerido. Siga o que corresponder ao cliente e, antes de contar com ele, confirme que o túnel sobrevive ao ecrã de bloqueio.

Proteja o caminho de regresso

Antes de terminar a sessão numa máquina remota, decida como o próximo início de sessão chegará ao domínio. Um túnel de utilizador que cai com a sessão pode remover o único caminho com que contava, e então nem a palavra-passe antiga nem a nova o fazem passar o ecrã de bloqueio. Mantenha uma conta administrativa local ou uma consola fora de banda como alternativa. Escreva o passo de recuperação onde o utilizador o possa alcançar sem iniciar sessão.

Para suporte, recolha quatro factos: onde a palavra-passe foi alterada, que credencial ainda funciona offline, se um controlador de domínio está acessível através do túnel e que método de início de sessão o portátil usa.

Esses quatro separam um verificador desatualizado de um bloqueio de conta ou de um início de sessão VPN rejeitado, que num ticket parecem iguais e têm correções diferentes. Uma conta bloqueada também rejeita a palavra-passe nova online, por isso teste isso antes de culpar a cache.

Feche o ciclo com um início de sessão online

O objetivo é um início de sessão interativo suportado enquanto o domínio está acessível, seguido de um estado offline conhecido. Esse único evento atualiza o verificador e termina o ciclo de alterar a palavra-passe em cada dispositivo.

Verifique o estado depois com a contagem de inícios de sessão em cache e uma consulta ao controlador de domínio:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Se a contagem for zero, o início de sessão em cache está desativado por política e o comportamento offline não muda, por muitas vezes que a palavra-passe seja reposta. É uma decisão de política a levantar junto do proprietário, não uma solução alternativa a aplicar localmente.