缓存登录的取舍
域成员会缓存最近登录成功用户的凭据哈希，让用户在断网或域控不可达时仍能登录。代价是哈希落在终端磁盘上，可被离线提取后用于离线破解或重放。域内工作站的常规做法是把缓存数量限制在 1 到 4 个；高安全终端可以设为 0，但要提前接受失去离线登录能力。
基本信息
| 加固项 | 凭据缓存收敛 |
|---|---|
| 适用平台 | Windows 域成员 |
| 基线取值 | CachedLogonsCount 不大于 4 |
| 注册表位置 | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon |
| 生效条件 | 用户重新登录后刷新 |
| 风险等级 | 中 |
典型使用场景
- 办公笔记本：保留 1 到 2 个，兼顾偶发离线使用
- 固定工作站：可收紧到 1，甚至设为 0
- 高安全生产终端：设 0 并配合磁盘加密
- 合规核查：缓存登录数量受限的基线项
- 事件响应：终端被物理接触后评估凭据暴露范围
核查与调整
核查与调整
# 查看当前缓存数量（该值为字符串类型）
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' | Select-Object CachedLogonsCount
# 收紧到 1
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name CachedLogonsCount -Value '1' -Type String
# GPO 路径：计算机配置 → 安全设置 → 本地策略 → 安全选项
# 交互式登录: 之前登录到缓存的次数（域: 可访问此计算机）取值与适用场景
| 取值 | 效果 | 适用 |
|---|---|---|
| 0 | 无离线登录能力 | 高安全固定终端 |
| 1 到 4 | 少量离线登录 | 域内工作站推荐区间 |
| 10 | 系统默认值，残留凭据较多 | 建议收紧 |
| 大于 10 | 无明显收益 | 不建议 |
笔记本用户出差依赖离线登录，设为 0 之前要和业务方确认，否则会产生大批“离线无法登录”的工单。
调整后需要用户下一次重新登录才生效，批量推送前要保留用户已缓存的凭据，避免立即断供。
终端被物理接触时缓存哈希可以被提取，高安全区需要配合磁盘加密与禁用休眠共同使用。