在 ActiveDirectory 中缓存凭据并设置机器

Question

如果有一堆 Windows 机器将在远程和域外使用（起初），有没有办法从 Active Directory 预先同步用户名和密码，以便用户可以通过缓存的凭据登录，而不必先使用域?

（我们在偏远地区有用户并将机器运送给他们 - 并且有人谈论使用 Active Directory 及其域而不是本地凭据。然后这些机器最终通过蜂窝和 VPN 或通过 POTS 拨号连接，但最初不是，当然也不是在首先登录 - 他们通常必须首先在断开连接的状态下工作。）

Answer 1

我不知道有什么方法可以推出缓存的凭据，这意味着“缓存”这个词选择不当（如果存在这种方法）。

在每台计算机出厂之前安装 LogMeIn 或任何其他远程控制软件，并在发送计算机之前让每个用户远程登录到他们的计算机怎么样？

根据我的经验，最好的方法是不要将远程计算机加入域，而是在每台计算机上创建一个本地用户帐户和一个本地管理员帐户。IT 记录本地管理员密码并向用户提供本地用户密码。此方案最适合 VDI 和/或云服务。另一种解决方法是为每台计算机提供预配置的硬件 VPN 端点，这样当用户登录时，每台计算机基本上都位于 LAN 上。

在 100% 远程计算机上缓存凭据的一个大问题是，如果您有任何密码过期策略（您应该这样做），则在第一次过期后，几乎不可能使缓存的凭据与当前的凭据保持同步。最好的情况是最终用户感到困惑，最坏的情况是无法进行身份验证。