Cuando una cuenta de usuario se bloquea, la causa a menudo se atribuye a un usuario que simplemente ha ingresado una contraseña antigua o incorrecta demasiadas veces. Sin embargo, esto está lejos de ser lo único que puede hacer que una cuenta se bloquee.

Otra causa común, por ejemplo, es una aplicación o script que está configurado para iniciar sesión en el sistema con una contraseña antigua. Sin embargo, quizás la causa más fácil de pasar por alto de los bloqueos de cuentas es el uso de credenciales almacenadas en caché.

Antes de explicar por qué las credenciales almacenadas en caché pueden ser problemáticas, primero consideremos qué hacen las credenciales almacenadas en caché de Windows y por qué son necesarias.

Credenciales en caché y almacenadas

Las credenciales almacenadas en caché son un mecanismo que se utiliza para garantizar que los usuarios tengan una forma de iniciar sesión en su dispositivo en caso de que el dispositivo no pueda acceder a Active Directory. Supongamos por un momento que un usuario está trabajando desde una computadora portátil unida a un dominio y está conectado a la red corporativa.

En ese tipo de situación, Active Directory autenticaría las credenciales del usuario cuando el usuario inicia sesión. Si, por otro lado, el usuario está trabajando desde casa usando la misma computadora portátil pero no tiene conexión a la red corporativa, Active Directory no puede procesar la solicitud de inicio de sesión del usuario.

Aquí es donde entran en juego las credenciales almacenadas en caché. Si no fuera por las credenciales en caché, el usuario no podría iniciar sesión en su dispositivo porque no hay un controlador de dominio disponible para procesar la solicitud de inicio de sesión. Sin embargo, dado que Windows admite el uso de credenciales almacenadas en caché, las credenciales almacenadas en caché que residen en el dispositivo del usuario pueden procesar la solicitud de autenticación.

El usuario no podrá acceder a ninguno de los recursos en la red corporativa porque no existe conexión a la red y la autenticación del usuario no fue procesada por un controlador de dominio. Aun así, el usuario al menos tendrá la capacidad de iniciar sesión en su computadora portátil y usar cualquier aplicación que esté instalada localmente en el dispositivo.

Aunque las credenciales almacenadas en caché se utilizan principalmente como un mecanismo para permitir que los usuarios inicien sesión localmente cuando trabajan desde fuera de la oficina, las credenciales almacenadas en caché tienen otro uso importante. Si una organización sufriera una falla catastrófica que resultara en una interrupción de Active Directory, entonces el personal de TI podría usar las credenciales almacenadas en caché como un medio para iniciar sesión en sus dispositivos para que puedan comenzar a diagnosticar y reparar los problemas de Active Directory.

Todo esto es para decir que las credenciales almacenadas en caché de Windows tienen un caso de uso válido. Como tales, no son el tipo de cosas que le gustaría desactivar. Sin embargo, como se señaló anteriormente, el uso de credenciales almacenadas en caché puede causar confusión e incluso provocar que las cuentas se bloqueen en determinadas circunstancias.

Credenciales en caché que causan bloqueos de cuentas

Imagine por un momento que un usuario trabaja desde dos dispositivos unidos a un dominio: una computadora de escritorio corporativa y una computadora portátil. Ahora suponga que el usuario está trabajando desde su escritorio y cambia su contraseña de Windows. Suponiendo que la computadora portátil esté apagada en ese momento, la computadora portátil desconoce el cambio de contraseña. Todavía tiene las credenciales antiguas del usuario almacenadas en el caché de contraseñas.

Con eso en mente, considere lo que sucedería la próxima vez que el usuario intente iniciar sesión desde su computadora portátil. Si el usuario no está conectado a la red corporativa, su nueva contraseña no funcionará porque la contraseña anterior todavía está almacenada en el caché. Sin embargo, el usuario aún puede iniciar sesión en el dispositivo con su contraseña anterior. Sin embargo, una vez que el usuario se conecta a la red corporativa, la contraseña se actualizará. Esto significa que si el usuario intenta iniciar sesión repetidamente en su computadora portátil con su contraseña anterior, el proceso de autenticación fallará y, finalmente, se bloqueará la cuenta del usuario.

Actualizar las credenciales almacenadas en caché del usuario

Specops uReset puede ayudar con este problema. Los usuarios pueden restablecer sus contraseñas de Windows directamente desde la pantalla de inicio de sesión de Windows. Más importante aún, cuando un usuario cambia o restablece su contraseña, el software Specops uReset sincroniza automáticamente la nueva contraseña en todos los dispositivos del usuario, actualizando el caché local en el proceso. Esto significa que un usuario nunca debe encontrarse con una situación en la que algunos dispositivos se hayan actualizado con su nueva contraseña mientras que otros dispositivos continúan usando la contraseña anterior. Desde el punto de vista de TI, esto significa menos llamadas de servicio relacionadas con contraseñas a su servicio de asistencia técnica.