ドメイン参加PCは、以前のサインイン情報がキャッシュされている場合、ドメインコントローラー（DC）に接続できなくてもドメインユーザーでサインインできます。このキャッシュをGPOで0にすると、DCが利用できない状態でのキャッシュによるサインインを無効にできます。
ただし、持ち出しPCやサインイン後に接続するVPNでは、利用者が入れなくなるおそれがあります。一律に安全性が高まる設定ではありません。管理者は対象PCを限定し、接続経路・復旧用の管理手段・元の設定値を確認してから検証してください。LANケーブルを抜くだけでは、Wi-FiやVPN経由でDCへ接続できる場合があります。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
「対話型ログオン：キャッシュする過去のログオン数」を0に設定する
グループポリシー管理エディターから、以下のパスにある「対話型ログオン：キャッシュする過去のログオン数（ドメイン コントローラーが使用できない場合」を開いてください
コンピューターの構成＞ポリシー＞Windowsの設定＞セキュリティの設定＞ローカルポリシー＞セキュリティオプション
「このポリシーの設定を定義する」にチェックを入れてください。
フォームに０を入力してください。これでログオン情報はキャッシュされません。
この数は、1人のユーザーのパスワード履歴数ではありません。Windowsは最大50キャッシュエントリを扱い、パスワード認証の一意なユーザーアカウントでは最大50件です。
Microsoftの説明では、0はキャッシュによるログオンを無効にします。上限は50エントリで、スマートカード認証では1ユーザーが複数エントリを使用します。同じユーザーが再びログオンすると、そのユーザーのキャッシュ情報は更新されます。
適用確認と注意点
設定対象はユーザーではなくコンピューターです。対象PCにGPOが適用されたことを確認したうえで、復旧できる検証端末でDCへの接続がない状態のドメインサインインを確認します。以下はエラー表示の例であり、今回すべての環境で動作確認したという意味ではありません。
この設定は、既に開いているセッションを終了したり、ローカルアカウントでのサインインまで禁止したりするものではありません。DCに到達できる状態のドメイン認証と、オフラインのキャッシュ認証を区別してください。
現在、ログオン要求を処理できるログオン サーバーはありません
コメント