ADログイン時にアカウント情報を参照する順番は？

質問

以下の環境でADドメイン管理をしております。

ADサーバ：Windows 2003 server
クライアントPC：Win XP Pro
ドメイン名：ABC.local

当ドメイン「ABC.local」に参加しているアカウントが100アカウントだとして、それらすべてのアカウントに対して”ユーザは次回ログイン時にパスワード変更が必要”にチェックを入れました。

実際に当ドメインに参加しているユーザがログインする時に、パスワード変更が求められる場合と求められない場合が見受けられました。

パスワード変更が求められずにそのままログインできてしまったユーザは、ドメインの認証がされていないようで同ドメイン内の他のファイルサーバなど参照する際にID/パスワードが求めらます。つまりADと通信をせずPCのキャッシュを見てしまっているようなのです。

はじめは必ずADサーバと通信するようにする方法や、アカウント情報を参照する順番について、教えていただけると大変うれしいです。

回答No.3

tarepanda009

>ADサーバとクライアントPCとで同期が正確にとられているかのチェックという意味でしょうか？

その通りです。あまりずれているとKerberos認証に不都合があるそうなので。

お礼

自己解決しました。

XPでは高速ログオン最適化機能というものがデフォルトで有効になっているようで、まさに今回の現象に合致します。

Windows XP Professional の高速ログオン最適化機能について
http://support.microsoft.com/kb/305293/ja

いろいろとご回答ありがとうございました。

補足

確認しましたが、クライアントPCとADサーバは同期がとれているようなんですよね。。

回答No.2

tarepanda009

それほど詳しいわけではないので私では解決には至らないと思いますが、後はPCの時刻チェックでしょうかね。

補足

PCの時刻チェックというのは、ADサーバとクライアントPCとで同期が正確にとられているかのチェックという意味でしょうか？

回答No.1

tarepanda009

ログインするときにADでない方でしてしまっているのではないでしょうか？　（ログインするときにどちらの環境でログインするか選択できますので。また念のため、参照するDNSがどこになっているか確認してみてください。）

補足

ADサーバ上に確実に存在するアカウントでログインしようとする場合に上記現象が発生しています。

また、ログインする時の接続先も正しいドメイン名を選択していることが確認できています。

ちなみに、そのようなユーザにはいったんログオフしていただいてログインしなおすと、パスワード変更要求が出ます。

参照しているDNSは最初に参照する先がPDC、次に参照する先がBDCのIPが設定されているので問題ないと思っています。