System nie zapamiętuje danych logowania SMB

System niezapamiętujący danych logowania SMB wskazuje na politykę GPO blokującą trwały zapis poświadczeń sieciowych.

Dlaczego Windows nie zapisuje poświadczeń SMB

Komunikat, że system nie zapamiętuje danych logowania SMB, oznacza zwykle, że Windows nie może albo nie chce trwale przechować poświadczeń używanych do dostępu do udziału sieciowego. SMB, czyli Server Message Block, służy w systemach Windows między innymi do udostępniania folderów, drukarek i plików w sieci lokalnej. Przy otwieraniu ścieżki takiej jak \\komputer\udzial system sprawdza, czy bieżące konto ma uprawnienia do zasobu. Jeżeli nie, wyświetla monit o nazwę użytkownika i hasło.

Samo jednorazowe poprawne uwierzytelnienie nie oznacza jeszcze, że dane zostaną zachowane na przyszłość. Windows rozdziela bieżącą sesję SMB od trwałego przechowywania poświadczeń. Dostęp może działać do momentu wylogowania lub rozłączenia zasobu, a przy następnym połączeniu ponownie pojawi się monit. Taki efekt może wynikać z ustawień lokalnych zasad zabezpieczeń, zasad grupy, sposobu utworzenia mapowania dysku albo z faktu, że zapisane wcześniej poświadczenie jest nieprawidłowe lub przypisane do innej nazwy komputera.

Polityka GPO blokująca trwały zapis

Najważniejszym ustawieniem w tym przypadku jest zasada „Network access: Do not allow storage of passwords and credentials for network authentication”, znana po polsku jako zakaz przechowywania haseł i poświadczeń na potrzeby uwierzytelniania sieciowego. W lokalnym edytorze zasad zabezpieczeń można ją znaleźć w sekcji Local Policies, następnie Security Options. W środowisku domenowym ustawienie może być dostarczane przez obiekt zasad grupy GPO i wtedy lokalna zmiana na komputerze może zostać nadpisana podczas odświeżania zasad.

Technicznie ustawienie jest powiązane z wartością DisableDomainCreds w kluczu rejestru HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa. Wartość ustawiona na 1 oznacza włączenie blokady przechowywania poświadczeń domenowych. Nie należy jednak traktować samej wartości rejestru jako wystarczającego dowodu przyczyny, ponieważ konfiguracja może pochodzić z GPO, a system może wymagać ponownego uruchomienia lub wylogowania po zmianie. W domenie właściwym źródłem informacji jest raport zastosowanych zasad, który można wygenerować poleceniem gpresult /h raport-gpo.html.

Mapowanie dysku, Menedżer poświadczeń i sesja SMB

Warto rozróżnić trzy elementy: zapis poświadczeń, aktywną sesję SMB oraz trwałość mapowania dysku. Polecenie net use może utworzyć połączenie z udziałem i określić, czy mapowanie ma być odtwarzane po zalogowaniu. Przykładowo parametr /persistent:yes dotyczy trwałości połączenia lub mapowania, ale nie obchodzi polityki, która zabrania zapisywania haseł. Jeżeli system nie może przechować poświadczeń, dysk może być widoczny po ponownym zalogowaniu, lecz Windows nadal poprosi o hasło albo oznaczy połączenie jako niedostępne.

Do sprawdzenia wpisów przeznaczonych do użycia przez system służy polecenie cmdkey /list. Wyświetla ono listę zapisanych celów, bez ujawniania przechowywanych haseł. Należy zwrócić uwagę, czy wpis odnosi się do tej samej nazwy hosta, której używa ścieżka SMB. Połączenie przez \\192.168.1.10\udzial i połączenie przez \\NAZWA-KOMPUTERA\udzial mogą być traktowane jako różne cele. Stary wpis w Menedżerze poświadczeń może powodować powtarzające się odrzucenie logowania; jego usunięcie i ponowne uwierzytelnienie pomaga tylko wtedy, gdy polityka zezwala na zapis.

Diagnostyka powinna obejmować także aktywne sesje poleceniem net use. Jeśli istnieje połączenie do tego samego hosta z innym kontem, Windows może nie pozwolić na równoczesne użycie drugiego zestawu poświadczeń w tej samej sesji logowania. W takiej sytuacji rozłączenie właściwego zasobu przez net use \\host\udzial /delete pozwala przeprowadzić test od początku. Nie rozwiązuje to jednak nadrzędnej polityki GPO. Oddzielnie należy sprawdzić uprawnienia udziału i uprawnienia systemu plików NTFS, ponieważ poprawnie zapamiętane hasło nie nadaje kontu dostępu, którego konto nie posiada.

Zakres sprawdzenia podczas serwisowania komputera

Przy ocenie problemu trzeba ustalić, czy zasada jest lokalna, czy pochodzi z domeny, jaki użytkownik wykonuje logowanie oraz czy problem występuje przy każdym udziale SMB, czy tylko przy jednym komputerze lub jednym koncie. Należy również sprawdzić, czy zegar systemowy jest poprawny, czy nazwa hosta rozwiązuje się prawidłowo oraz czy udział nie wymaga innego konta niż aktualnie zalogowane. Błędne hasło, wygasłe konto, zmiana nazwy komputera i pozostała aktywna sesja mogą dawać podobny objaw, mimo że nie oznaczają blokady zapisu poświadczeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z konfiguracją systemu Windows, dostępem do udziałów sieciowych oraz działaniem podzespołów potrzebnych do pracy komputera. W ramach analizy można rozdzielić błąd polityki zabezpieczeń od problemu z kontem użytkownika, mapowaniem dysku, rozpoznawaniem nazwy hosta lub samą komunikacją sieciową. Zmiana GPO powinna być wykonywana dopiero po ustaleniu, kto zarządza zasadami i jaki skutek ma ona wywołać, ponieważ lokalne wyłączenie blokady może zostać cofnięte przez domenę.