Prečo doménový notebook prijíma staré heslo offline

Zmena hesla sa prejaví všade naraz, okrem jediného notebooku, ktorý bol týždeň offline. Webmail prijme nové heslo, stolový počítač v kancelárii tiež, a vzdialený stroj sa pri výpadku VPN stále prihlasuje starým. Nie je to druhé heslo ani chyba synchronizácie v adresári. Je to uložený overovateľ prihlásenia, ktorý robí to, na čo bol navrhnutý, a riešením je sled krokov, nie reset.

Notebook overuje uloženého overovateľa

Windows pripojený k doméne uchováva miestneho overovateľa pre nedávne úspešné interaktívne prihlásenia, aby sa stroj mohol spustiť, keď neodpovedá žiadny radič domény. Tento overovateľ sa odvodzuje z hesla tak, ako bolo pri danom prihlásení. Zmena hesla inde aktualizuje adresár, ale nie kópiu na notebooku, ktorý s ním odvtedy nehovoril.

Staré heslo teda stále môže otvoriť miestnu reláciu, hoci je neplatné pre akékoľvek nové overenie v doméne. Sú to dve rôzne pozorovania a ich miešanie vedie k opakovaným resetom.

Pred zmenou čohokoľvek ďalšieho potvrďte, ktoré prihlasovacie údaje sa skutočne používajú. PIN Windows Hello, prihlásenie cez Entra ID a tradičné doménové heslo sú oddelené mechanizmy a PIN najmä nie je doménové heslo, aj keď odomyká rovnakú plochu.

Sieťové overovanie nie je interaktívne prihlásenie

Otvorenie sieťového zdieľania novým heslom dokazuje, že sieťová cesta funguje. Neobnovuje však vyrovnávaciu pamäť interaktívneho prihlásenia, pretože Windows považuje sieťové a interaktívne overovanie za oddelené operácie s oddeleným stavom.

Overovateľ sa obnoví len vtedy, keď interaktívne prihlásenie skutočne kontaktuje radič domény; pripojený disk alebo výzva Outlooku to neurobia.

Tento rozdiel vysvetľuje bežné hlásenie: používateľ môže čítať poštu a otvoriť intranet, ale uzamykacia obrazovka stále žiada staré heslo. Vysvetľuje aj to, prečo VPN spustená po prihlásení nemôže pomôcť počiatočnému prihláseniu, keďže tunel prichádza až po tom, čo rozhodnutie už padlo lokálne.

Získajte jedno online prihlásenie v správnom okamihu

Vyrovnávacia pamäť sa obnoví, keď sa používateľ prihlási interaktívne, kým je doména dostupná. Pri vzdialenom stroji to znamená, že tunel musí existovať pred vyhodnotením prihlasovacích údajov, nie až po zobrazení plochy.

Skontrolujte, či nasadenie podporuje pripojenie pred prihlásením alebo tunel zariadenia. Tie sú navrhnuté presne pre tento okamih a používateľský tunel ich nenahrádza:

nltest /dsgetdc:corp.example
klist

Ak koncový bod nemá cestu pred prihlásením, použite podporovaný proces obnovy, ktorý organizácia dokumentuje. Niektoré prostredia používajú sled pripojiť, uzamknúť a odomknúť s tunelom držaným otvoreným na uzamykacej obrazovke; iné posielajú zariadenie na riadený krok obnovy. Postupujte podľa toho, čo zodpovedá klientovi, a pred spoliehaním sa naň overte, že tunel prežije uzamykaciu obrazovku.

Chráňte cestu späť

Pred odhlásením zo vzdialeného stroja sa rozhodnite, ako sa nasledujúce prihlásenie dostane do domény. Používateľský tunel, ktorý padne spolu s reláciou, môže odstrániť jedinú cestu, s ktorou ste počítali, a potom vás cez uzamykaciu obrazovku nepustí ani staré, ani nové heslo. Majte ako zálohu miestny správcovský účet alebo konzolu mimo pásma. Zapíšte krok obnovy tam, kde k nemu používateľ dosiahne bez prihlásenia.

Pre podporu zozbierajte štyri fakty: kde sa heslo zmenilo, ktoré prihlasovacie údaje ešte fungujú offline, či je radič domény dostupný cez tunel a akú metódu prihlásenia notebook používa.

Tieto štyri oddeľujú zastaraného overovateľa od uzamknutia účtu alebo odmietnutého prihlásenia VPN, ktoré v tikete vyzerajú podobne a majú rôzne riešenia. Uzamknutý účet odmietne nové heslo aj online, takže to otestujte skôr, než obviníte vyrovnávaciu pamäť.

Uzavrite slučku jedným online prihlásením

Cieľom je jedno podporované interaktívne prihlásenie, kým je doména dostupná, po ktorom nasleduje známy offline stav. Táto jediná udalosť obnoví overovateľa a ukončí cyklus menenia hesla na každom zariadení.

Stav potom overte počtom uložených prihlásení a vyhľadaním radiča domény:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ak je počet nula, uložené prihlásenie je vypnuté zásadou a správanie offline sa nezmení, nech sa heslo resetuje koľkokrátkoľvek. Je to rozhodnutie o zásade, ktoré treba nadniesť u vlastníka, nie obchádzka na miestne použitie.