凭据管理器的存量问题
凭据管理器保存的是用户勾选“记住密码”后留下的可复用凭据，多数集中在远程桌面与网络共享。问题在于：终端上任何一次本地提权或取证动作都能读到这些项，等于把口令留在了使用者的机器上。清理要做两件事：盘点存量并删除业务不需要的项，再用策略阻止新的保存行为。
基本信息
| 加固项 | 终端凭据残留 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server |
| 盘点命令 | cmdkey /list |
| 管理界面 | 控制面板 → 用户账户 → 凭据管理器 |
| 策略配合 | 凭据分配相关组策略，禁止保存凭据 |
| 风险等级 | 中 |
典型使用场景
- 共享办公机与跳板机：多人使用，残留凭据风险最高
- 离职交接：确认离职人员账号保存的凭据已清理
- 季度巡检：把凭据清单纳入终端安全检查项
- 事件响应：评估失陷终端上可被复用的凭据范围
- 用户习惯治理：用策略替代反复提醒
盘点与清理
盘点与清理
# 盘点当前用户保存的凭据
cmdkey /list
# 只看远程桌面相关项
cmdkey /list:TERMSRV/*
# 删除指定项
cmdkey /delete:TERMSRV/10.0.8.21
# 用户侧：远程桌面连接窗口中取消勾选“记住我的凭据”凭据保存位置与清理
| 保存位置 | 常见来源 | 清理方式 |
|---|---|---|
| 凭据管理器 | 远程桌面与共享勾选记住 | 用 cmdkey 命令或界面删除 |
| 组策略 | 允许委派保存的凭据 | 设为禁用，从源头阻止新的保存 |
| 用户习惯 | 反复勾选记住密码 | 靠策略收敛，提醒效果有限 |
| 企业凭据工具 | 受控的密码管理平台 | 作为长期替代方案评估引入 |
cmdkey 只显示当前用户的凭据，多用户机器需要逐用户检查，否则漏掉的往往是使用最频繁的账号。
清理后用户会重新填写并再次勾选保存，靠提醒解决不了问题，要用策略把保存能力关掉。
共享终端上的凭据管理器是重灾区，应纳入离职交接清单与季度巡检项。