windows-xp – XP用户可以在帐户锁定后解锁屏幕

Server 2008域上的WinXP工作站：

>用户锁定屏幕并让计算机休息一下.
>用户在离开时忘记了他/她的密码.
>用户进行了一系列无效的登录尝试,并且他/她的帐户被锁定. XP显示一个对话框,警告用户已发生锁定.
>用户忽略对话框并进行其他登录尝试,突然记住他/她的正确密码.
> Windows XP允许用户使用正确的密码解锁屏幕,尽管用户的帐户现在已被锁定在域控制器上.
>用户最终致电服务台,抱怨无法打印或访问网络驱动器.

我们有点震惊地发现Windows允许具有锁定帐户的用户解锁他们的屏幕,尽管它在每次身份验证尝试时都会访问域控制器,从而生成锁定事件.

在当前情况下,似乎可以在屏幕被锁定的任何Windows XP工作站上猜测无限数量的密码.这是不可取的.

有没有办法让Windows XP尊重帐户锁定并拒绝访问,直到帐户解锁？

它是设计的,看起来很合乎逻辑.如果用户帐户在域控制器上被锁定,则用户无法再使用域帐户登录.

但是在锁定的工作站上,所有授权(因为没有尝试访问任何资源,例如文件共享,需要新的域凭据检查)由本地安全系统执行,因为本地系统信任这些用户(已经由AD检查和授权) .

因此,对于这个未锁定的工作站安全系统,此类用户仍然合法,但他们无法访问使用域身份验证(打印机/网络驱动器)的任何资源,因为帐户已被锁定.