为什么即使 AD 域控制器关闭，我也可以登录到一个盒子？

Question

设想：

• 当我的 DC 运行时，我登录到任意一台机器。
• 我停止DC
• 我注销了任意机器。让我们也把它弹起来。
• 当机器重新启动时，即使 DC 关闭，我仍然可以使用我的域凭据登录

为什么以及如何？

在“任意”机器上是否有某种本地凭证缓存在起作用？我的密码以某种方式被散列并存储以备将来 DC 爆炸或关闭的情况下使用？

如果我在 DC 关闭时尝试登录我以前从未登录过的盒子，同样的过程会起作用吗？

Answer 1

默认情况下，Windows 将缓存最后 10-25 个用户登录到机器（取决于操作系统版本）。此行为可通过 GPO 进行配置，并且通常在安全性至关重要的情况下完全关闭。

如果您在所有 DC 都无法访问时尝试登录您从未登录过的工作站或成员服务器，您将收到一条错误消息，指出 There are currently no logon servers available to service the logon request