在 Windows 2019 AD 上启用受保护用户可防止用户登录

Question

我们的 Windows Server 2019 AD 已设置并运行良好。由于 Outlook 漏洞 (CVE-2023-23397)，我们实施了其中一项建议 - 将用户移至受保护的用户组。从那时起，用户就一直无法在家中登录笔记本电脑。

他们使用用户名/密码组合，在办公室里可以正常工作，但一旦回到家，所有密码（密码/PIN/面部锁）都不起作用。

有办法解决这个问题吗？我发现我使用 Kerberos 而不是 NTLM 登录了笔记本电脑。

谨致问候，汤姆

Answer 1

受保护用户不适用于普通用户。它适用于最高权限的用户帐户。从受保护用户组中删除普通用户帐户。

Answer 2

受保护用户组的成员需要域控制器连接才能登录。不允许缓存登录。您家中的用户可能依赖缓存凭据（登录类型 11）。

这里记录了许多可帮助排除故障的新事件 ID：

https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group

Answer 3

请指出您是否知道有可用的补丁：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397在底部，您可以找到下载链接。