Windows：DisableDomainCreds 和 CachedLogonsCount 之间的区别

Question

以下设置如何，位于计算机配置 >> Windows 设置 >> 安全设置 >> 本地策略 >> 安全选项，相关：

• 交互式登录：要缓存的先前登录次数（如果域控制器不可用）
  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\CachedLogonsCount

  determines whether a user can log on to a Windows domain by using cached account information

• 网络访问：不允许存储用于网络身份验证的密码和凭据
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\DisableDomainCreds

  determines whether Credential Manager saves passwords and credentials for later use when it gains domain authentication

CachedLogonsCount 只是一个更细粒度的策略， DisableDomainCreds 与将 CachedLogonsCount 设置为 0 相同吗？

Answer 1

CachedLogonsCount 控制在本地缓存多少以前的本地登录，以便用户可以在域控制器不可用的情况下登录到计算机。非常重要的区别：Windows 不缓存实际凭据，仅缓存用于验证密码的哈希。这意味着即使泄露存储的信息也无法访问任何域凭据。 Reference.

DisableDomainCreds 控制是否兑现实际凭据，以便用户可以访问域资源而无需在会话期间重新进行身份验证。如果启用此策略，用户将在每次访问网络资源时强制重新输入密码，例如网络共享。此功能存储实际凭证。 Reference.

两个回答你的问题：不，这是两种不同的机制，具有不同的目标。