Автоматический вход в Winlogon после перезапуска (ARSO)

Во время обновления Windows существуют процессы, связанные с пользователем, которые должны выполняться для завершения обновления. Эти процессы требуют, чтобы пользователь вошел на свое устройство. При первом входе после запуска обновления пользователи должны ждать завершения этих процессов, прежде чем они смогут начать работу с устройством.

Как это работает?

Когда Центр обновления Windows инициирует автоматическую перезагрузку, ARSO извлекает производные учетные данные текущего пользователя, сохраняет их на диске и настраивает автологон для пользователя. Центр обновления Windows, работающий в режиме системы с привилегиями TCB, инициирует вызов RPC.

После окончательной перезагрузки обновления Windows пользователь автоматически войдет в систему с помощью механизма Autologon, а сеанс пользователя восстанавливается с сохраненными секретными данными. Кроме того, устройство заблокировано для защиты сеанса пользователя. Блокировка инициируется с помощью Winlogon, а управление учетными данными выполняется локальным центром безопасности (LSA). После успешной настройки ARSO и входа сохраненные учетные данные немедленно удаляются с диска.

"Автоматическое вход в систему и блокировка пользователя на консоли позволяет службе обновления Windows завершить процессы, специфичные для пользователя, прежде чем он вернется к устройству." Таким образом, пользователь может сразу же начать использовать свое устройство.

ARSO обрабатывает неуправляемые и управляемые устройства по-разному. Для неуправляемых устройств используется шифрование устройств, но не требуется пользователю для получения ARSO. Для управляемых устройств для настройки ARSO требуются TPM 2.0, SecureBoot и BitLocker. ИТ-администраторы могут переопределить это требование с помощью групповой политики. ARSO для управляемых устройств в настоящее время доступен только для устройств, присоединенных к идентификатору Microsoft Entra.

Политика #1

Автоматический вход и блокировка последнего интерактивного пользователя после перезапуска

В Windows 10 ARSO отключен для номеров SKU сервера и отключен для номеров SKU клиента.

Расположение групповой политики: Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Параметры входа в Windows

Политика Intune:

• Платформа: Windows 10 и более поздних версий
• Тип профиля: административные шаблоны
• Путь: \Компоненты Windows\Параметры входа в Систему Windows

Поддерживается: По крайней мере Windows 10 версии 1903

Description:

Этот параметр политики определяет, будет ли устройство автоматически входить в систему и блокировать последнего интерактивного пользователя после перезапуска системы или после завершения работы и холодной загрузки.

Это происходит только в том случае, если последний интерактивный пользователь не вышел перед перезапуском или завершением работы.

Если устройство присоединено к Active Directory или Microsoft Entra ID, эта политика применяется только к клиентский компонент Центра обновления Windows перезапускам. В противном случае это касается как перезапусков Центра обновления Windows, так и перезапусков и выключений, инициированных пользователем.

Если этот параметр политики не настроен, он включен по умолчанию. Если политика включена, пользователь автоматически войдет в систему. Кроме того, после загрузки устройства сеанс блокируется всеми приложениями экрана блокировки, настроенными для этого пользователя.

После включения этой политики можно настроить его параметры с помощью политики ConfigAutomaticRestartSignOn. Он задает режим автоматического входа и блокирует последнего интерактивного пользователя после перезагрузки или холодной загрузки.

Если этот параметр политики отключен, устройство не настроит автоматический вход. Приложения на экране блокировки пользователя не перезапускаются после перезапуска системы.

Редактор реестра:

Расположение реестра политик: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Тип: DWORD

Политика #2

Настройка режима автоматического входа и блокировки последнего интерактивного пользователя после перезапуска или холодной загрузки

Расположение групповой политики: Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Параметры входа в систему Windows

Политика Intune:

• Платформа: Windows 10 и более поздних версий
• Тип профиля: административные шаблоны
• Путь: \Компоненты Windows\Параметры входа в Систему Windows

Поддерживается: По крайней мере Windows 10 версии 1903

Description:

Этот параметр политики управляет конфигурацией, в которой автоматический перезапуск и вход и блокировка возникают после перезагрузки или холодной загрузки. Если вы выбрали "Отключено" в политике "Вход и блокировка последнего интерактивного пользователя автоматически после перезагрузки", то автоматический вход не будет выполнен, и эта политика не должна быть настроена.

Если этот параметр политики включен, можно выбрать один из следующих двух вариантов:

1. Значение "Включено, если BitLocker включен и не приостановлено", указывает, что автоматический вход и блокировка будут возникать только в том случае, если BitLocker активен и не приостановлен во время перезагрузки или завершения работы. В настоящее время доступ к личным данным можно получить на жестком диске устройства, если BitLocker не включен или приостановлен во время обновления. Приостановка BitLocker временно снимает защиту системных компонентов и данных, но может потребоваться в определенных обстоятельствах для успешного обновления компонентов, критически важных для загрузки.
   • BitLocker приостановлен во время обновлений, если:
     • Устройство не имеет TPM 2.0 и PCR7, или
     • Устройство не использует средство защиты только для доверенного платформенного модуля
2. Always Enabled указывает, что автоматический вход произойдет, даже если BitLocker отключен или приостановлен во время перезагрузки или завершения работы. Если BitLocker не включен, на жестком диске доступны персональные данные. Автоматический перезапуск и вход должны выполняться только в этом условии, если вы уверены, что настроенное устройство находится в безопасном физическом расположении.

Если вы отключите или не настроите этот параметр, автоматический вход будет по умолчанию включён с поведением «Включено, если BitLocker включен и не приостановлен».

Редактор реестра

Расположение реестра политик: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Тип: DWORD

Troubleshooting

Когда Winlogon выполняет вход в систему, трассировка его состояния хранится в журнале событий Winlogon. Проверьте журналы приложений и служб> Microsoft > Windows > Winlogon > Operational в средстве просмотра событий для следующих событий Winlogon:

Состояние попытки настройки ARSO хранится в журнале событий LSA. Проверьте журналы > приложений и служб Microsoft > Windows > LSA в средстве просмотра событий для следующих событий LSA>:

Причины, по которым может не сработать автовход

Существует несколько случаев, когда невозможно достичь автоматического входа пользователя. Этот раздел предназначен для отслеживания известных сценариев, в которых это может произойти.

Пользователь должен сменить пароль при следующем входе

Авторизация пользователя может оказаться в заблокированном состоянии, если потребуется изменить пароль при следующем входе. Это можно обнаружить до перезапуска в большинстве случаев, но не во всех (например, пароль может истечь между завершением работы и следующим входом в систему).

Учетная запись пользователя отключена

Существующий сеанс пользователя можно поддерживать даже в том случае, если он отключен. Перезапуск, связанный с учетной записью, которая отключена, можно обнаружить локально в большинстве случаев заранее. Однако, в зависимости от групповой политики, это может не относиться к учетным записям домена (некоторые сценарии входа с использованием кеша домена работают, даже если учетная запись отключена на контроллере домена).

Время входа в систему и родительский контроль

Часы входа и родительские элементы управления могут запретить создание нового сеанса пользователя. Если во время этого окна произошла перезагрузка, пользователь не сможет войти в систему. Политика также вызывает блокировку или выход в качестве действия соответствия требованиям. Регистрируется состояние попытки автологона.

Сведения о безопасности

В средах, где физическая безопасность устройства обеспокоена (например, устройство может быть украдено), корпорация Майкрософт не рекомендует использовать ARSO. ARSO зависит от целостности встроенного ПО платформы и доверенного платформенного модуля (TPM). Злоумышленник с физическим доступом может, возможно, скомпрометировать их и таким образом получить доступ к учетным данным, хранящимся на диске при включенной функции ARSO.

В корпоративных средах, где безопасность пользовательских данных, защищенных API защиты данных (DPAPI), вызывает обеспокоенность, Microsoft не рекомендует использовать ARSO. ARSO отрицательно влияет на данные пользователей, защищенные DPAPI, так как расшифровка не требует учетных данных пользователя. Предприятия должны проверить влияние на безопасность пользовательских данных, защищенных DPAPI, прежде чем использовать ARSO.

Сохраненные учетные данные

Взаимодействие системы Credential Guard

ARSO поддерживается с поддержкой Credential Guard на устройствах, начиная с Windows 10 версии 2004.

Дополнительные ресурсы

Автологон — это функция, которая присутствует в Windows в нескольких версиях. Это документированная функция Windows, которая даже имеет такие средства, как autologon для Windows http:/technet.microsoft.com/sysinternals/bb963905.aspx. Он позволяет одному пользователю устройства автоматически входить без ввода учетных данных. Учетные данные настраиваются и хранятся в реестре в качестве зашифрованного секрета LSA. Это может быть проблематично для многих случаев с детьми, когда блокировка учетной записи может происходить между временем сна и пробуждением, особенно если окно технического обслуживания обычно выпадает на это время.