網域使用者修改密碼後仍提示密碼錯誤，或舊密碼還在生效，應該檢查什麼？
應區分離線快取登入、網域控制站複製延遲、舊 SMB 會話、憑據管理器、服務任務和 VPN/雲端桌面認證路徑。
適用範圍與操作邊界應區分離線快取登入、網域控制站複製延遲、舊 SMB 會話、憑據管理器、服務任務和 VPN/雲端桌面認證路徑。 檢查前先確認影響範圍和重現條件；任何變更均應保留備份、測試對象和清晰的復原路徑。
1. 結論與適用範圍
檢查前應準備用戶端與伺服器版本、網域和站台資料、用戶端 DNS 設定、涉及的網域控制站、完整錯誤訊息、相關事件記錄，以及近期的 AD、DNS 或群組原則變更。文中的 corp.example 是保留範例網域，不代表任何真實客戶環境。
此問題涉及「AD 網域與群組原則」。如已影響日常辦公、業務運作或資料安全，可先遠端收集記錄和設定；涉及批次權限、交換器鏈路、停機切換或復原演練時，應安排受控實施時段。
2. 現象與影響範圍
- 保留完整錯誤訊息、事件記錄時間點和失敗操作，不要只憑使用者口述判斷。
- 先記錄影響範圍、首次發生時間、是否持續重現，以及同網段和其他網段是否一致。
- 應區分離線快取登入、網域控制站複製延遲、舊 SMB 會話、憑據管理器、服務任務和 VPN/雲端桌面認證路徑。
3. 原因分析與檢查步驟
- 區分“離線快取登入仍可用”和“在線網域認證失敗”，並確認當前終端是否真正聯繫到網域控制站。
- 使用 repadmin 查看複製摘要、失敗源和錯誤碼，再按站點、連接對象和命名上下文縮小範圍。
- 同一伺服器不能同時用不同帳戶建立 SMB 會話；應先識別現有會話，再決定是否斷開和重新認證。
- 檢查憑據管理器、映射磁碟機、計劃任務、服務和腳本中的帳戶格式，統一使用已確認的網域帳戶或專用服務帳戶。
- 帳戶改密後仍反覆鎖定時，應特別檢查離線筆記本、手機、平板、舊 VPN 用戶端和長時間未重啓的終端。
- 信任關係失敗時先驗證安全通道；修復前確認本機管理員憑據和使用者資料路徑，避免直接刪機重加入網域。
唯讀檢查示例
whoami /logonid
nltest /dsgetdc:corp.example
klist
cmdkey /list
net use指令中的伺服器名稱、網域和路徑必須替換為本企業已確認的值。不要複製未知環境中的真實 IP、網域或帳戶。
4. 處理方案與受控實施
優先使用唯讀查詢、匯出設定及單台驗證。確認根因後，再選擇修復對象、維護時段及復原方式。多台電腦處理時，先建立測試 OU 和少量試點設備，導出策略結果，確認無副作用後再分批推廣。
- 檢查憑據管理器、映射磁碟機、計劃任務、服務和腳本中的帳戶格式，統一使用已確認的網域帳戶或專用服務帳戶。
- 帳戶改密後仍反覆鎖定時，應特別檢查離線筆記本、手機、平板、舊 VPN 用戶端和長時間未重啓的終端。
- 信任關係失敗時先驗證安全通道；修復前確認本機管理員憑據和使用者資料路徑，避免直接刪機重加入網域。
遠端還是現場處理？單台或少量終端、設定與記錄可遠端取得時，通常可先遠端判斷；涉及交換器鏈路、機房佈線、多網段批次變更或停機切換時，建議安排現場時段。杭州及長三角可按項目情況上門，其他地區可遠端協助。
5. 驗證、復原與常見誤區
修復後不要只看「暫時可用」。應從使用者操作、記錄、重新啟動／重新登入、不同網絡位置及下一次策略／備份週期再次驗證。
驗證與復原檢查
- 一次只變更一個條件，並在變更前導出設定或記錄當前狀態。
- 確認用戶端、網域控制站和虛擬化宿主機的時區與時間源一致，避免 Kerberos 因時間偏差失敗。
- 確認網域控制站間 AD 與 SYSVOL 複製正常，用戶端存取的網域控制站上存在相同策略版本。
常見錯誤做法
- 直接改用公共 DNS 或在 hosts 中長期硬編碼網域控制站。
- 未備份本機管理員憑據就把電腦退出域。
- 未經小範圍驗證就把新 GPO 連結到整個域。