Domain user ne moze da se loguje (na svoj racunar) poslije lock-a ...

Imam sledeci problem: jedan korisnik (iz domena) ne moze da se loguje poslije lock-a (klijentskog racunara).
Preciznije: ako resetujemo racunar (iskljucimo, pa ukljucimo), login prolazi normalno. Ako se login radi poslije lock-a, sa istim (domenskim) kredencijalima, login je neuspjesan. Da budem iskren, prvi put se susrecem sa ovakvom situacijom.

Jos cekam informaciju od korisnika da li se to desava samo na njegovom racunaru ili i na drugim racunarima (iz domena).

Na klijentu je Win 7 Pro. Na DC-ru je Windows Server 2012. Domen je podignut prije dvije (ipo) godine i sve je funkcionisalo besprekorno (ukljucujuci i login / logout ovog korisnika).

Zahvalan za svaku pomoc ...

Potpis

Programming is fun, but writing good software is hard ...

Ako je taj korisnik u skorije vreme menjao password, možda ovaj članak ima odgovor na tvoja pitanja: http://technet.microsoft.com/e...09.07.windowsconfidential.aspx

Ovo login poslije lock-a mi nije baš najjasnije?
Da li govorimo o tome da se korisnik ne može logovati ako uradi: lock, unlock, logoff ili naprosto ne može odraditi unlock nakon lock-a?
Šta kaže lokalni i DC security log?

Znaci, ako ukljucimo racunar, login prolazi. Korisnik ode, recimo, na burek i lock-uje svoj racunar. Ddoje poslije bureka i hoce da se loguje -> e taj login ne prolazi ...

Dobio sam informaciju od korisnika da na svim ostalim racunarima (u domenu) moze da se loguje bez problema (i kad se racunar butuje i poslije lock-a) -> samo na njegovom racunaru nije moguc login poslije lock-a.

Nadam se da je sada jasno o cemu se radi ...

Potpis

Programming is fun, but writing good software is hard ...

Hvala ti na odgovoru, zanimljiv clanak.

E sad, pitanje sta uraditi: ako sam dobro procitao, ako uradim enable opcije 'Require Domain Controller authentication to unlock workstation policy', onda ce login proces uvijek citati login kredencijale sa domen kontrolera ?

U medjuvremenu sam dobio informaciju od korisnika da se na svim ostalim racunarima (u domenu) moze logovati bez problema (i poslije boot-a i poslije lock-a) ... da li postoji neka mogucnost da se flush-ira password cache 9ako tako nesto postoji) na samom klijentu (Windows Pro 7) ?

Potpis

Programming is fun, but writing good software is hard ...

Jeste, sad je jasnije. Dakle unlock ne radi a ne login.
Pod pretpostavkom da user 105% kuca svoj aktuelni password na lock ekranu, lokalni password cache bi se upravo tako trebao rekreirati:
http://blog.webactivedirectory...ctory-cached-user-credentials/
http://www.xpheads.com/forums/...hed-credentials-domain-vp.html
Stavljanje pomenutog GPO-a privremeno, pa gpupdate/reboot na toj 7-ci bi ti pomoglo da ustanoviš da li je problem do nje ili da nekako force-aš rekreiranje. Ne bih preporučio da taj GPO ostaviš trajno zato što korisnici neće moći otključati mašinu ako iz bilo kog razloga u tom momentu DC nije dostupan!

EDIT: Korisnici umjesto korisnik u zadnjoj rečenici...

Hvala na odgovoru, malo kasnije cu 'posjetiti' linkove koje si naveo.

Evo sto sam pokusao u medjuvremenu:

- opciju 'require domain controller authentication to unlock workstation' sam setovao na 'enable' -> probao da unlock-ujem racunar -> ne uspijeva,

- dodatno (pored gornje opcije) sam parametar: 'Number of previous logons to cache (in case domain controller is not available)' setovao na vrijednost 0 -> probao da unlock-ujem racuanr -> ne uspijeva.

Ono sto je cudno je to da ako kliknete na 'ctrl-alt-del', u namjeri da unlock-ujete racunar i kliknete na 'other credentials' -> pojavljuje se samo doticni user name -> ne postoji mogucnost da, recimo, pokusate unlock kao neki admin ?

Jos i ovo: sinoc sam gledao zapis u Event viewer-u:
- ako je login failure -> pise da je 'Account' = 'korisnicko ime doticnog user-a',
- ako je login successfull -> pise da je 'Account' = 'ime doticnog racunara' (ovo mi nije jasno ?) ???

DC je apsolutno aktivan, mogu da ga pingujem itd ... vec sam naveo da doticni korisnik moze da se bez problema loguje (i poslije unlock-a) na bilo kom drugom racunaru iz domena, samo je njegov racunar problematican.

Nisam uspio da nadjem (nisam imao ni previse vremena) informaciju kako da obrisem credential cache na klijentu -> da li da izbrisem folder sa ovim korisnickim imenom, pa da probam da se ulogujem ?

Potpis

Programming is fun, but writing good software is hard ...

Da li si proveravao security log na dc-u? Kao krajnje rešenje možeš da probaš da isčlaniš računar iz domena, resetuješ kompjuterski nalog i učlaniš računar ponovo u domen.

Potpis

rajco.me/blog

Ako si između ovoga odradio gpupdate i čak za svaki slučaj i reboot klijentske mašine onda je problem definitivno u toj mašini.

Ovo ne uspijeva zato što ta opcija kontroliše logon ne lock/unlock. Kod unlock-a se unosi ništa osim password-a, user je u pozadini i dalje uredno logovan i svi njegovi pokrenuti programi rade. Lock nakon koga slijedi unlock je ono što treba da počisti lokalni password cache.