Desativar o computador no diretório ativo ainda permite que a conta de domínio faça o login?

Question

Se eu desabilitar uma conta de computador no AD, não seria possível fazer login no domínio usando este computador?

Eu testei isso, eu tenho um computador ligado ao domínio (Windows 10), eu desabilitei a conta do computador e eu reiniciei a máquina cliente e, em seguida, tentei fazer o login no computador com uma conta de usuário de domínio, funcionou. / p>

Meu pensamento é que eu não deveria ter permissão para fazer login usando o computador desativado, mesmo se eu estivesse fazendo login com credenciais de usuário válidas, porque a conta do computador está desativada.

Eu posso entender se o computador não estava na rede, não seria capaz de entrar em contato com o AD para obter informações atualizadas e, como tal, ainda seria capaz de fazer logon como um usuário do domínio por causa de credenciais armazenadas em cache etc.

Eu tentei reiniciar o computador, redefinir a conta do computador, desativá-la / ativá-la, etc. De alguma forma, ainda consigo fazer login no domínio usando este computador !!

O que eu quero é que, se a conta do computador estiver desativada, NINGUÉM possa fazer login usando esse computador no domínio.

A idéia é, eu quero limpar nossos computadores do Active Directory, desativando aqueles que têm uma data LastLogin com mais de 90 dias .. com alguma garantia de que se eu fizer isso e os computadores desativados foram conectados de volta para o rede que eles não podem fazer login mesmo se você estiver tentando fazer login com credenciais de usuário de domínio válidas porque a conta real do computador está desativada .

    

Answer 1

Quando você desativa um computador no Active Directory, basicamente desativa a conta do computador. Suspeito que o computador esteja passando solicitações de autenticação para um controlador de domínio diferente daquele em que você o desativou e que essas informações ainda não foram replicadas.

Também é possível que você tenha algum tipo de problema de replicação maior no próprio Active Directory, mas é difícil dizer com base nas informações em sua postagem.

Edit: sugestão de Ryan para desabilitar credenciais em cache. Esta é uma opção na política de grupo:

Configuração do computador - > Configurações do Windows - > Configurações de segurança - > Políticas locais - > Opções de segurança - > Logon interativo: número de logons anteriores a serem armazenados em cache.

(Pode ser necessário reinicializar ou gpupdate /force para que isso entre em vigor.)