Возможно ли централизованно принудительное кэширование доменных паролей Windows на машинах пользователей?

Question

[Alex Bond]

Суть: многие пользователи на время пандемии забирают рабочие компьютеры домой.
При возникновении проблемы с vpn и соответственно потере связи с DC, на данной машине можно что-либо сделать только имея кэшированный админский пароль (с локальным админом не всё возможно).

Так вот вопрос в том, можно ли сделать кэш всех или некоторых админских паролей на локальных машинах централизованно, средствами AD, PS или другими.

Альтернативное решение тоже будет к месту.

Заранее благодарен за ответы. Надеюсь не очень потревожил бога БАЯНА.

Comments

[Роман Безруков]

на данной машине можно что-либо сделать только имея кэшированный админский пароль

Как Вы собираетесь подключаться к удаленной машине у пользователя дома или решили сообщать пользователю админский пароль?

[hint000]

Роман Безруков, пока не запретили оборот таких тяжелых веществ, как TeamViewer, AnyDesk, AmmyyAdmin,..

[Роман Безруков]

hint000, ну это неспортивно...

[Prog]

(с локальным админом не всё возможно).

а можно узнать что конкретно?

[Талян]

Prog, Даже командную строку от имени Администратора не запустить локальным админом, если связи с КД нету.
И вывести из домена комп нельзя, если залогинишься локальным админом. Вывод из домена - администратором домена только. У нас - так. И вряд ли это политика, ибо я такую не видел у нас в моделировании GPO.

[Prog]

Талян, всё выводится локальным админом из домена без подключения домена...
и PS админский запускается.

Answer 1

[rPman]

попробуй с машины, где уже есть закешированный вход, скопировать ключ реестра HKLM/SECURITY/Cache/NL$xxxx

ну и почти первая же ссылка в гугле на dump domain cached credential

Answer 2

[fpir]

За кэширование паролей отвечает политика "Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)", значение, несмотря на описание, это количество последних пользователей домена, которые входили на эту машину. Т.к. на конкретную машину входят, обычно, 1-2 пользователя и админ(в другом случае, несколько админов), то значение 3-5 гарантированно добавит в кэш доменных админов(если они вообще когда-либо заходили на данную машину). Т.е., чтоб подключится к конторскому компу у пользователя дома - задайте политику(по умолчанию, вроде, 5), скажем, 10, зайдите под своей учёткой и отдайте комп.
Или я чего-то не понял?