Вход на компьютер через локально сохраненную доменную учетную запись

Question

[4udik]

Есть КД на win server 2008 r2, есть клиенты на win 7. При входе в домен пользователю на комп подгружается его профиль с рабочим столом и прочим. Групповые политики настроены так, что удаляют локальные профили после суток простоя, таким образом локальных пользователей на компьютерах нет.
В связи с временной нестабильностью сети возникла необходимость разрешить пользователям домена входить на свои компьютеры при отсутствии сети. Сейчас убираю в групповых политиках удаление профилей и разрешаю вход с локальных учеток, соответственно, если пользователь хоть раз заходил под учеткой на комп, она сохраняется и дает ему возможность зайти в систему без сети (само собой у него будет черный рабочий стол и все его файлы отсутствуют).
Собственно вопрос: что будет происходить с данными при повторном подключении к домену — затирается ли что-то? обновляются? игнорируется локальный профиль? И можно ли это где-то настраивать.
И второй — есть ли варианты для экстренного входа пользователей на комп получше этого?

Answer 1

[Владимир Дубровин]

ChiefPilot, вот описание параметра: technet.microsoft.com/en-us/library/cc755473(v=ws.10).aspx

foxmuldercp, Windows всегда создает локальный профиль пользователя и использует его. Если у пользователя сконфигурирован сетевой (роаминговый) профиль — локальный профиль синхронизуется с ним при входе пользователя, в обратную сторону синхронизация происходит при выходе. По сети напрямую можно использовать только отдельные специальные папки (Рабочий стол, Мои Документы и т.п.).

Answer 2

[Валерий Еремеев]

Данные затираться не должны (раз убрано удаление). Другое дело, что вот под локальными учётными записями можно заходить сколько угодно раз, а вот под доменными только некоторое ограниченное число раз (оно в политике настраивается, но вообще убрать это, вроде бы, никак). После достижения этого ограниченного числа входов, чтобы войти следующий раз необходимо таки установить связь между ПК и контроллером домена. В общем, если связь с контроллером домена часто появляется (и это число при «нормальном» входе (в присутствии связи) часто обнуляется), то жить можно.

Comments

[Валерий Еремеев]

Вот, у меня это вот тут: Computer Configuration\Windows Settings\Security Setting\Local Policies\Security Options\Interactive Logon\Policy Setting

и параметр называется: «Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)» и стоит там: «50 входов в систему» и это, похоже, максимум.

Вот описание параметра:

Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)

Сведения о предыдущих входах пользователей в систему кэшируются локально, чтобы обеспечить последующий вход в систему в случае отсутствия доступа к контроллеру домена. При отсутствии доступа к контроллеру домена и кэшировании сведений о входах пользователей в систему пользователь получает следующее сообщение:

Не удалось установить связь с сервером и получить параметры входа в систему. Вход выполнен с помощью локально сохраненной информации об учетной записи. Если эта информация была изменена со времени последнего входа в систему на этом компьютере, то изменения не будут отражены во время текущего сеанса.

При отсутствии доступа к контроллеру домена и отсутствии кэширования данных о входах пользователей в систему пользователь получает следующее сообщение:

Подключение к системе сейчас невозможно, так как домен <ИМЯ_ДОМЕНА> недоступен.

Значение этого параметра «0» отключает кэширование данных входа. При любом значении большем 50 кэшируется только 50 попыток входа в систему.

По умолчанию: 10

[4udik]

спасибо

Answer 3

[Владимир Дубровин]

Синхронизация локального профиля с сетевым происходит при выходе пользователя. При входе пользователя, если локальный профиль свежее сетевого (т.е. не был синхронизован при выходе) — используется локальный, т.е. данные профиля не потеряются. Если сетевой профиль свежее локального — используется сетевой. Проблемы могут быть, если один пользователь работает с нескольких компьютеров, лучше ограничить пользовательские учетные записи входом на один компьютер.

P.S. ставить параметр политики в 50 нет никакой необходимости. Это количество разных учетных записей для которых кэшируется пароль локально. Если за компьютером работает 1 пользователь — достаточно поставить 1-2. Ставить больше считается небезопасным, т.к. будут помниться сведения о пароле, например, администраторов которые входили на этот компьютер.

Comments

[4udik]

правильно я понимаю — если человек сохранил что-то на локальном профиле, вышел без подключения в домен, а в следующий раз потерял этот документ когда вошел уже через домен?
К сожалению, необходимость иногда даже более 50 учеток есть — это компьютерный класс со всеми вытекающими ;)

[Владимир Дубровин]

Если вошел на тот же компьютер — то не потерял, если на другой — то потерял. Опять же возможны нехорошие ситуации, когда юзер входит на один компьютер, забывает выйти, входит на другой, что-то делает, сохраняет в локальный профиль, логофится, синхронизуется, после чего его логофят на первом компьютере, тот тоже синхронизует профиль и изменения сделанные юзером теряются.

В общем, приучайте студентов стараться работать на одном и том же компьютере, если есть проблемы в сети, тогда все будет хорошо. А иначе, кстати, их и кэширование учетной записи не спасет.

[Николай Турнавиотов]

@z3apa3za — какой «один и тот же пк»? в правильном варианте все профили живут в сети на сетевой шаре и только там, и логинься хоть на всех пк, профиль удет один и тот же, кроме варианта локального и носимого ноута, но и тогда — две точки соприкосновения — ноут + сетевая шара

[Валерий Еремеев]

Про цифру 50 — это таки не количество учёток, а именно количество разрешённых кешированных (без связи с комнтроллером домена) входов в каждую отдельно взятую учётку. Можно максимум 50 раз войти и выйти без связи с контроллером домена, а после этого уже будет не войти. А сколько пользователей будет работать на компьютере — нет никаких ограничений (по крайней мере не 50! :)).
А ещё у вас тут всё смешалось: надо почитать на тему обычных профилей (которые создаются отдельные и никак не связанные на каждом ПК для одного и того же доменного имени пользователя) и так называемых перемещаемых (которые едины для каждого пользователя, хранятся на сервере и подгружаются на любой ПК, куда он зашёл) профилей. В этих двух очень разных ситуациях и разное поведение. И пока не понятно, что за типы профилей у Вас, 4udik. По умолчанию профили не перемещаемые (если Вы специально это не включали).

[Николай Турнавиотов]

Странно. помню «хак» входа под заблоченной в домене учеткой — выключить сеть из машины, залогиниться, включить сеть. профит.
на прошлой работе сотрудница уехав с доменным ноутбуком глубоко и надолго около полгода регулярно работала под доменной учёткой, пока винда не умерла от вирусни

[4udik]

ChiefPilot, перемещаемые. Проблема не в том, как это сделать, а как это правильнее сделать) Есть 15 пк на каждый из которых в худшем случае заходят 300+ пользователей :) и мне нужно минимизировать потери новых файлов после ситуации потери связи с КД.