Se alguém tiver várias máquinas Windows que serão usadas remotamente e fora do domínio (a princípio), existe uma maneira de pré-sincronizar os nomes de usuário e senhas do Active Directory para que os usuários possam fazer login por meio de credenciais armazenadas em cache sem precisar usar o domínio primeiro ?
(Temos usuários em áreas remotas e enviamos máquinas para eles - e fala-se em usar o Active Directory e seus domínios em vez de credenciais locais. Essas máquinas eventualmente se conectam via celular e VPN ou por discagem POTS, mas não inicialmente, e certamente não em primeiro login - eles geralmente precisam trabalhar primeiro em um estado desconectado.)
Responder1
Não conheço uma maneira de enviar credenciais armazenadas em cache, e isso significaria que a palavra "armazenado em cache" foi mal escolhida, se tal forma existisse.
Que tal colocar o LogMeIn ou qualquer outro software de controle remoto em cada computador antes de ele ser lançado e fazer com que cada usuário faça login remotamente em sua máquina antes de enviá-lo?
Na minha experiência, a melhor maneira de fazer isso é não associar as máquinas remotas ao domínio, mas criar uma conta de usuário local e uma conta de administrador local em cada máquina. A TI documenta a senha do administrador local e fornece ao usuário a senha do usuário local. Este cenário funciona melhor com VDI e/ou serviços em nuvem. Outra solução alternativa é enviar endpoints VPN de hardware pré-configurados com cada computador para que cada computador esteja basicamente na LAN quando o usuário fizer logon.
Um grande problema com o cache de credenciais em computadores 100% remotos é que se você tiver alguma política de expiração de senha (o que deveria), pode se tornar virtualmente impossível manter as credenciais em cache sincronizadas com as atuais, após a primeira expiração. O melhor cenário é a confusão do usuário final, o pior é a incapacidade de autenticação.
Responder2
Você não gostaria de enviar uma credencial em cache (que por sua própria natureza não pode ser enviada por si só), no entanto, o que você pode fazer para novas implantações é executar um script pós-implantação que efetue login como o usuário (potencialmente usando um senha aleatória gerada e definida pela sequência de tarefas usando as credenciais adequadas). A nova senha aleatória seria definida para expirar e transmitida separadamente para que fosse válida até que o usuário se conectasse à rede.