Windows Server 2016 consente l'accesso offline nonostante la disabilitazione delle credenziali memorizzate nella cache.

Ciao Alan Piero,

il comportamento che descrivi è coerente con il fatto che Windows Server continua a consentire l’uso delle credenziali memorizzate nella cache anche se hai impostato CachedLogonCount a 0. La chiave di registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CachedLogonCount controlla quante credenziali vengono salvate, ma non disabilita completamente la possibilità di un logon offline. Quando il valore è 0, Windows non dovrebbe mantenere nuove cache, ma se esistono già credenziali salvate, queste rimangono valide finché non vengono eliminate.

Per forzare la disabilitazione, devi intervenire tramite Group Policy. La policy corretta è Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options → Interactive logon: Number of previous logons to cache (in case domain controller is not available). Impostandola a 0, e applicando un gpupdate /force, il sistema non conserverà più credenziali. Tuttavia, se hai già effettuato logon precedenti, quelle credenziali restano in %SystemRoot%\System32\config\SECURITY e possono ancora essere usate. Per eliminarle devi cancellare manualmente la cache LSA, operazione che non è documentata come supportata da Microsoft perché può corrompere il sistema. La via corretta è applicare la policy a 0 e poi cambiare le password degli utenti, in modo che le credenziali cached non siano più valide.

Va anche chiarito che l’appartenenza al gruppo “Utenti protetti” non influisce sul caching offline. Quella funzionalità serve a bloccare l’uso di NTLM e altre forme di autenticazione non sicure, ma non disabilita la cache di logon. Se il tuo obiettivo è impedire qualsiasi accesso quando il DC non è raggiungibile, l’unico approccio supportato è impostare la policy a 0 e assicurarti che le password vengano cambiate dopo l’applicazione, così da invalidare eventuali cache esistenti.

In sintesi: la tua configurazione è corretta, ma il comportamento che vedi è dovuto a credenziali già salvate. Non è un bug, è il design di Windows. Per rispettare la richiesta del team di sicurezza, applica la policy a 0, forza l’aggiornamento delle policy, e cambia le password degli account. Da quel momento, l’accesso offline non sarà più possibile.

Spero che tu abbia trovato qualcosa di utile qui. Se ti ha aiutato a comprendere meglio la questione, ti sarei grato se accettassi la risposta. Se dovessi avere altre domande, non esitare a lasciare un messaggio. Buona giornata!

Domic Vo.