Winlogon Automatisk omstart-inloggning (ARSO)

Författare: Justin Turner, Ansvarig för eskalering inom support inom Windows-gruppen

Overview

Windows 8 introducerade låsskärmsappar. Det här är de program som kör och visar meddelanden medan användarens session är låst (avtalade tider i kalendern, e-post och meddelanden osv.). Enheter som startas om på grund av Windows Update-processen kan inte visa dessa aviseringar på låsskärmen vid omstart. Vissa användare är beroende av dessa låsskärmsprogram.

Vad har ändrats?

När en användare loggar in på en Windows 8.1-enhet sparar LSA användarautentiseringsuppgifterna i krypterat minne som endast kan nås av lsass.exe. När Windows Update initierar en automatisk omstart utan användarnärvaro används dessa autentiseringsuppgifter för att konfigurera automatisk inloggning för användaren. Windows Update som körs som system med TCB-behörighet initierar RPC-anropet för att göra detta.

Vid omstart loggas användaren automatiskt in via mekanismen För automatisk inloggning och låses sedan för att skydda användarens session. Låsning initieras via Winlogon medan autentiseringsuppgifterna hanteras av LSA. Genom att automatiskt logga in och låsa användaren på konsolen, kommer användarens låsskärmsapplikationer att startas om och vara tillgängliga.

Snabböversikt

• Windows Update kräver omstart

• Kan datorn starta om (inga appar som körs som skulle förlora data)?

  • Starta om för dig

  • Logga in igen

  • Lås dator

• Aktiverad eller inaktiverad av gruppolicy

  • Inaktiverad som standard i server-SKU:er

• Why?

  • Vissa uppdateringar kan inte slutföras förrän användaren loggar in igen.

  • Bättre användarupplevelse: behöver inte vänta 15 minuter för att uppdateringarna ska slutföra installationen

• How? AutoLogon

  • lagrar lösenord, använder den autentiseringsuppgiften för att logga in dig

  • sparar autentiseringsuppgifter som en LSA-hemlighet i sidigt minne

  • Kan bara aktiveras om BitLocker är aktiverat

Gruppprincip: Logga in den senaste interaktiva användaren automatiskt efter en systeminitierad omstart

I Windows 8.1/Windows Server 2012 R2 är automatisk inloggning av låsskärmsanvändaren efter en omstart av Windows Update ett alternativ för server-SKU:er och är inaktiverat för klient-SKU:er.

Principplats: datorkonfiguration > principer > administrativa mallar > Windows-komponenter > Windows-inloggningsalternativ

Policynamn: Logga in senast interaktiva användare automatiskt efter en systeminitierad omstart

stöds på: Minst Windows Server 2012 R2, Windows 8.1 eller Windows RT 8.1

Description/Help:

Den här principinställningen styr om en enhet automatiskt loggar in den senaste interaktiva användaren efter att Windows Update har startat om systemet.

Om du aktiverar eller inte konfigurerar den här principinställningen sparar enheten säkert användarens autentiseringsuppgifter (inklusive användarnamn, domän och krypterat lösenord) för att konfigurera automatisk inloggning efter en omstart av Windows Update. Efter omstarten av Windows Update loggas användaren in automatiskt och sessionen låses automatiskt med alla låsskärmsappar som konfigurerats för användaren.

Om du inaktiverar den här principinställningen lagrar enheten inte användarens autentiseringsuppgifter för automatisk inloggning efter en omstart av Windows Update. Användarnas låsskärmsappar startas inte om när systemet har startats om.

Registereditorn

Policyregisterplats: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

typ: DWORD

registernamn: DisableAutomaticRestartSignOn

Värde: 0 eller 1

0 = Aktiverad

1 = Inaktiverad

Troubleshooting

När WinLogon låss automatiskt lagras WinLogons tillståndsspårning i WinLogon-händelseloggen.

Status för ett autologonkonfigurationsförsök loggas

• Om det lyckas

  • registrerar den som sådan

• Om det är ett misslyckande:

  • registrerar vad felet var

• När BitLocker-tillståndet ändras:

  • borttagningen av autentiseringsuppgifter loggas

    • Dessa lagras i LSA-driftloggen.

Orsaker till varför automatisk inloggning kan misslyckas

Det finns flera fall där en automatisk inloggning för användare inte kan uppnås. Det här avsnittet är avsett att avbilda kända scenarier där detta kan inträffa.

Användaren måste ändra lösenord vid nästa inloggning

Användarinloggning kan ange ett blockerat tillstånd när lösenordsändring vid nästa inloggning krävs. Detta kan identifieras före omstart i de flesta fall, men inte alla (till exempel kan lösenordets förfallodatum nås mellan avstängning och nästa inloggning.

Användarkontot har inaktiverats

En befintlig användarsession kan underhållas även om den är inaktiverad. Omstart för ett konto som är inaktiverat kan i de flesta fall identifieras lokalt i förväg, men beroende på Gruppolicy kan detta inte alltid gälla för domänkonton (vissa scenarier med cachelagrad inloggning för domäner fungerar även om kontot är inaktiverat på domänkontrollanten).

Inloggningstimmar och föräldrakontroller

Kontrollerna Inloggningstimmar och föräldrakontroll kan förhindra att en ny användarsession skapas. Om en omstart skulle ske under det här fönstret skulle användaren inte tillåtas logga in. Det finns ytterligare en princip som orsakar lås eller utloggning som en efterlevnadsåtgärd. Detta kan vara problematiskt för många barnfall där kontolåsning kan inträffa mellan läggdags och uppvaknande, särskilt om underhållsfönstret ofta inträffar vid den här tiden.

Ytterligare resurser

Tabell SEQ Table \* ARABIC 3: ARSO-ordlista