Vì sao laptop trong miền vẫn nhận mật khẩu cũ khi ngoại tuyến

Một thay đổi mật khẩu đến mọi nơi cùng lúc, trừ chiếc laptop duy nhất đã ngoại tuyến cả tuần. Webmail nhận mật khẩu mới, một máy tính để bàn trong văn phòng cũng nhận, còn máy từ xa vẫn đăng nhập bằng mật khẩu cũ khi VPN ngừng hoạt động. Đây không phải mật khẩu thứ hai và cũng không phải lỗi đồng bộ trong thư mục. Đó là bộ xác thực đăng nhập được lưu trong bộ nhớ đệm đang làm đúng việc nó được thiết kế để làm, và cách khắc phục là một chuỗi bước, không phải đặt lại.

Chiếc laptop đang kiểm tra một bộ xác thực lưu trong bộ nhớ đệm

Windows đã tham gia miền giữ một bộ xác thực cục bộ cho các lần đăng nhập tương tác thành công gần đây, để máy có thể khởi động khi không có bộ điều khiển miền nào phản hồi. Bộ xác thực đó được suy ra từ mật khẩu tại thời điểm đăng nhập ấy. Đổi mật khẩu ở nơi khác sẽ cập nhật thư mục, chứ không cập nhật bản sao trên chiếc laptop đã không liên lạc với nó kể từ đó.

Vì vậy mật khẩu cũ vẫn có thể mở phiên cục bộ dù không hợp lệ cho bất kỳ xác thực miền mới nào. Đó là hai quan sát khác nhau, và trộn lẫn chúng dẫn đến việc đặt lại nhiều lần.

Hãy xác nhận thông tin đăng nhập nào thực sự đang được dùng trước khi thay đổi bất cứ điều gì khác. PIN Windows Hello, đăng nhập bằng Entra ID và mật khẩu miền truyền thống là những cơ chế riêng biệt, và riêng PIN không phải mật khẩu miền dù nó mở khóa cùng một màn hình.

Xác thực mạng không phải đăng nhập tương tác

Mở một thư mục chia sẻ bằng mật khẩu mới chứng minh đường mạng hoạt động. Nhưng nó không làm mới bộ nhớ đệm của đăng nhập tương tác, vì Windows coi xác thực mạng và xác thực tương tác là hai thao tác riêng với trạng thái riêng.

Bộ xác thực chỉ được làm mới khi một lần đăng nhập tương tác thực sự liên hệ với bộ điều khiển miền; ổ đĩa được ánh xạ hoặc lời nhắc Outlook thì không làm vậy.

Sự khác biệt đó giải thích báo cáo thường gặp: người dùng đọc được thư và mở được mạng nội bộ, nhưng màn hình khóa vẫn đòi mật khẩu cũ. Nó cũng giải thích vì sao VPN khởi động sau khi đăng nhập không giúp được lần đăng nhập đầu tiên, vì đường hầm chỉ đến sau khi quyết định đã được đưa ra cục bộ.

Có được một lần đăng nhập trực tuyến đúng thời điểm

Bộ nhớ đệm được làm mới khi người dùng đăng nhập tương tác trong lúc miền có thể truy cập. Với máy từ xa, điều đó nghĩa là đường hầm phải tồn tại trước khi thông tin đăng nhập được đánh giá, chứ không phải sau khi màn hình hiện ra.

Kiểm tra xem việc triển khai có hỗ trợ kết nối trước đăng nhập hoặc đường hầm thiết bị hay không. Chúng được thiết kế cho đúng thời điểm này, và đường hầm người dùng không thay thế được:

nltest /dsgetdc:corp.example
klist

Nếu điểm cuối không có đường đi trước đăng nhập, hãy dùng quy trình khôi phục được hỗ trợ mà tổ chức ghi lại. Một số môi trường dùng trình tự kết nối, khóa và mở khóa với đường hầm được giữ mở ở màn hình khóa; số khác đưa thiết bị sang bước khôi phục được quản lý. Hãy làm theo cách phù hợp với máy khách, và trước khi dựa vào nó, hãy xác nhận đường hầm tồn tại qua màn hình khóa.

Bảo vệ đường quay về

Trước khi đăng xuất khỏi máy từ xa, hãy quyết định lần đăng nhập tiếp theo sẽ đến miền bằng cách nào. Một đường hầm người dùng sụp cùng phiên có thể bỏ đi con đường duy nhất mà bạn trông cậy, và khi đó cả mật khẩu cũ lẫn mới đều không đưa bạn qua màn hình khóa. Giữ một tài khoản quản trị cục bộ hoặc bảng điều khiển ngoài băng làm phương án dự phòng. Ghi lại bước khôi phục ở nơi người dùng có thể tới mà không cần đăng nhập.

Để hỗ trợ, hãy thu thập bốn dữ kiện: mật khẩu đổi ở đâu, thông tin đăng nhập nào vẫn hoạt động ngoại tuyến, bộ điều khiển miền có truy cập được qua đường hầm không, và laptop dùng phương thức đăng nhập nào.

Bốn điều đó phân biệt một bộ xác thực cũ với khóa tài khoản hoặc lần đăng nhập VPN bị từ chối, những thứ trông giống nhau trong phiếu hỗ trợ nhưng cách khắc phục khác nhau. Một tài khoản bị khóa cũng sẽ từ chối mật khẩu mới trực tuyến, nên hãy thử điều đó trước khi đổ lỗi cho bộ nhớ đệm.

Khép vòng bằng một lần đăng nhập trực tuyến

Mục tiêu là một lần đăng nhập tương tác được hỗ trợ trong khi miền có thể truy cập, sau đó là một trạng thái ngoại tuyến đã biết. Chính sự kiện duy nhất đó làm mới bộ xác thực và chấm dứt vòng đổi mật khẩu trên mọi thiết bị.

Sau đó xác minh trạng thái bằng số lần đăng nhập được lưu trong bộ nhớ đệm và tra cứu bộ điều khiển miền:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Nếu số đó bằng không, đăng nhập lưu trong bộ nhớ đệm đã bị chính sách tắt và hành vi ngoại tuyến sẽ không thay đổi, dù đặt lại mật khẩu bao nhiêu lần. Đây là quyết định chính sách cần nêu với chủ sở hữu, không phải cách lách để áp dụng cục bộ.