Etki alanı dizüstü bilgisayarı çevrimdışıyken eski parolayı neden kabul eder

Parola değişikliği her yere aynı anda ulaşır; yalnızca bir hafta çevrimdışı kalan o tek dizüstü bilgisayar hariç. Webmail yeni parolayı kabul eder, ofisteki masaüstü de kabul eder, ancak VPN kapalıyken uzak makine hâlâ eski parolayla oturum açar. Bu ikinci bir parola değil ve dizinde bir eşitleme hatası da değil. Bu, önbelleğe alınmış oturum açma doğrulayıcısının tasarlandığı işi yapmasıdır ve çözüm bir sıfırlama değil, bir adımlar dizisidir.

Dizüstü bilgisayar önbelleğe alınmış bir doğrulayıcıyı denetliyor

Etki alanına katılmış Windows, son başarılı etkileşimli oturum açmalar için yerel bir doğrulayıcı tutar; böylece hiçbir etki alanı denetleyicisi yanıt vermediğinde makine önyüklenebilir. Bu doğrulayıcı, o oturum açma anındaki paroladan türetilir. Parolayı başka bir yerde değiştirmek dizini günceller, o tarihten beri onunla konuşmamış bir dizüstü bilgisayardaki kopyayı değil.

Dolayısıyla eski parola, her yeni etki alanı kimlik doğrulaması için geçersiz olsa da yerel oturumu hâlâ açabilir. Bunlar iki farklı gözlemdir ve karıştırılmaları tekrarlanan sıfırlamalara yol açar.

Başka bir şeyi değiştirmeden önce gerçekte hangi kimlik bilgisinin kullanıldığını doğrulayın. Windows Hello PIN'i, Entra ID ile oturum açma ve geleneksel etki alanı parolası ayrı mekanizmalardır ve özellikle PIN, aynı masaüstünün kilidini açsa bile etki alanı parolası değildir.

Ağ kimlik doğrulaması etkileşimli oturum açma değildir

Dosya paylaşımını yeni parolayla açmak ağ yolunun çalıştığını kanıtlar. Ancak etkileşimli oturum açma önbelleğini yenilemez, çünkü Windows ağ ve etkileşimli kimlik doğrulamayı ayrı duruma sahip ayrı işlemler olarak ele alır.

Doğrulayıcı yalnızca etkileşimli bir oturum açma gerçekten bir etki alanı denetleyicisiyle iletişim kurduğunda yenilenir; eşlenmiş bir sürücü veya Outlook istemi bunu yapmaz.

Bu ayrım olağan bildirimi açıklar: kullanıcı postayı okuyup intraneti açabilir, ama kilit ekranı hâlâ eski parolayı ister. Ayrıca oturum açtıktan sonra başlatılan bir VPN'in ilk oturum açmaya neden yardımcı olamadığını da açıklar, çünkü tünel, karar yerelde verildikten sonra gelir.

Doğru anda bir çevrimiçi oturum açma elde edin

Önbellek, etki alanı erişilebilirken kullanıcı etkileşimli olarak oturum açtığında yenilenir. Uzak bir makine için bu, tünelin kimlik bilgisi değerlendirilmeden önce var olması gerektiği anlamına gelir, masaüstü göründükten sonra değil.

Dağıtımın oturum açma öncesi bağlantıyı veya cihaz tünelini destekleyip desteklemediğini denetleyin. Bunlar tam bu zamanlama için tasarlanmıştır ve kullanıcı tüneli onların yerini tutmaz:

nltest /dsgetdc:corp.example
klist

Uç noktanın oturum açma öncesi bir yolu yoksa, kuruluşun belgelediği desteklenen kurtarma sürecini kullanın. Bazı ortamlar tüneli kilit ekranında açık tutarak bağlan, kilitle ve aç dizisini kullanır; diğerleri cihazı yönetilen bir kurtarma adımına gönderir. İstemciye uyanı izleyin ve ona güvenmeden önce tünelin kilit ekranını atlattığını doğrulayın.

Geri dönüş yolunu koruyun

Uzak bir makineden oturumu kapatmadan önce bir sonraki oturum açmanın etki alanına nasıl ulaşacağına karar verin. Oturumla birlikte düşen bir kullanıcı tüneli, güvendiğiniz tek yolu kaldırabilir ve o zaman ne eski ne de yeni parola sizi kilit ekranından geçirir. Yedek olarak yerel bir yönetici hesabı veya bant dışı konsol bulundurun. Kurtarma adımını kullanıcının oturum açmadan ulaşabileceği bir yere yazın.

Destek için dört olgu toplayın: parolanın nerede değiştiği, hangi kimlik bilgisinin çevrimdışı hâlâ çalıştığı, etki alanı denetleyicisine tünelden ulaşılıp ulaşılamadığı ve dizüstü bilgisayarın hangi oturum açma yöntemini kullandığı.

Bu dördü eski bir doğrulayıcıyı hesap kilidinden veya reddedilen bir VPN oturum açmasından ayırır, bunlar bir kayıtta benzer görünür ve farklı düzeltmeleri vardır. Kilitlenmiş bir hesap yeni parolayı çevrimiçi de reddeder, bu yüzden önbelleği suçlamadan önce bunu test edin.

Döngüyü bir çevrimiçi oturum açmayla kapatın

Amaç, etki alanı erişilebilirken desteklenen tek bir etkileşimli oturum açma ve ardından bilinen bir çevrimdışı durumdur. Bu tek olay doğrulayıcıyı yeniler ve parolayı her cihazda değiştirme döngüsünü bitirir.

Ardından durumu önbelleğe alınmış oturum açma sayısı ve etki alanı denetleyicisi aramasıyla doğrulayın:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Sayı sıfırsa, önbelleğe alınmış oturum açma ilke tarafından devre dışı bırakılmıştır ve parola kaç kez sıfırlanırsa sıfırlansın çevrimdışı davranış değişmez. Bu, sahibiyle görüşülmesi gereken bir ilke kararıdır, yerelde uygulanacak bir geçici çözüm değildir.