Блог

Главная - Вопросы по программированию - Windows: разница между DisableDomainCreds и CachedLogonsCount

Windows: разница между DisableDomainCreds и CachedLogonsCount

#windows #group-policy

#Windows #групповая политика

Вопрос:

Как связаны следующие параметры, расположенные в разделе Конфигурация компьютера >> Настройки Windows >> Параметры безопасности >> Локальные политики >> Параметры безопасности:

  • Интерактивный вход в систему: количество предыдущих входов в кэш (в случае, если контроллер домена недоступен)
    • HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogonCachedLogonsCount

    определяет, может ли пользователь входить в домен Windows, используя кэшированные данные учетной записи

  • Доступ к сети: не разрешать хранение паролей и учетных данных для сетевой аутентификации
    • HKEY_LOCAL_MACHINESystemCurrentControlSetControlLsaDisableDomainCreds

    определяет, сохраняет ли диспетчер учетных данных пароли и учетные данные для последующего использования при проверке подлинности домена

Это CachedLogonsCount просто более детализированная политика, с DisableDomainCreds тем же, что и установка CachedLogonsCount в 0?

Ответ №1:

CachedLogonsCount определяет, сколько предыдущих локальных входов в систему кэшируются локально, поэтому пользователь может выполнить вход на компьютер в случае, если контроллер домена недоступен. Очень важное отличие: Windows не кэширует фактические учетные данные, только хэш, используемый для проверки пароля. Это означает, что даже компрометация сохраненной информации не дает доступа ни к каким учетным данным домена. Ссылка.

DisableDomainCreds определяет, будут ли обналичены фактические учетные данные, чтобы пользователь мог получить доступ к ресурсам домена без повторной аутентификации во время сеанса. Если вы включите эту политику, пользователь будет вынужден повторно вводить свой пароль каждый раз, когда он обращается к сетевому ресурсу, например, к сетевой папке. Эта функция сохраняет фактические учетные данные. Ссылка.

Два ответа на ваш вопрос: Нет, это два разных механизма с разными целями.

Комментарии:

1. Спасибо. Однако я не вижу, где в документации, которую вы связали, говорится, что DisableDomainCreds это приводит к хранению паролей в виде открытого текста и CachedLogonsCount получению хэшей. Насколько я знаю, текстовые пароли сохраняются, только если включена дайджест-аутентификация или делегирование CredSSP. Кроме того, в документации к DisableDomainCreds ней говорится об использовании кэшированных учетных данных, если контроллеры домена недоступны, а также упоминается CachedLogonsCount в качестве меры. Это то, что заставляет меня думать, что у них есть перекрытия.

2. Я думаю, что причиной недопонимания здесь являются два разных типа аутентификации, происходящие здесь. CachedLogonsCount сохраняет хэши для проверки локальной аутентификации. DisableDomainCreds хранит учетные данные (по сути, не текстовые пароли!), Поэтому вам не нужно повторно проходить аутентификацию с помощью DC при каждом обращении к ресурсу. Конечно, это также будет работать, когда DC переходит в автономный режим. Возможно, вы можете взглянуть на то, как протокол Kerberos работает в доменах Windows, это может помочь с пониманием.