Симптомы блокировки входа через RDP из-за пароля

Когда у доменной учетной записи пользователя истекает срок действия пароля (Maximum password age policy), при попытке подключиться к удаленному рабочему столу или серверу терминалов соединение мгновенно сбрасывается ДО появления экрана смены пароля. Клиент выдает системную ошибку: Произошла ошибка проверки подлинности. Указанная учетная запись не существует или истек срок действия пароля или «The user account's password must be changed before signing in».

Способы смены пароля при истекшем сроке и активном NLA

1. Временное отключение NLA в параметрах RDP-файла (на стороне клиента): сохраните подключение в файл connection.rdp, откройте его в Блокноте и добавьте/измените параметр:

   enablecredsspsupport:i:0
   authentication level:i:2

   Это принудительно отключит предварительную проверку CredSSP, и сервер отобразит графический экран входа Windows с диалогом смены пароля.

2. Вход через веб-портал RDWeb Password Change: если в домене развернута роль Remote Desktop Web Access, перейдите в браузере по ссылке:

   https://rds-server.domain.com/RDWeb/Pages/en-US/password.aspx

   (Функция включается в IIS через параметр PasswordChangeEnabled = true в web.config).

3. Удаленная смена пароля через PowerShell с компьютера клиента: если учетная запись заблокирована только по сроку, пароль можно сменить по протоколу LDAP без открытия RDP-сессии:

   [System.DirectoryServices.AccountManagement.PrincipalContext]$ctx = New-Object System.DirectoryServices.AccountManagement.PrincipalContext([System.DirectoryServices.AccountManagement.ContextType]::Domain, "DOMAIN.COM");
   [System.DirectoryServices.AccountManagement.UserPrincipal]$user = [System.DirectoryServices.AccountManagement.UserPrincipal]::FindByIdentity($ctx, "UserName");
   $user.ChangePassword("СтарыйПароль", "НовыйПароль123!");

4. Временное отключение требования NLA на сервере (для администраторов):

   (Get-WmiObject -class Win32_TSGeneralSetting -Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'").SetUserAuthenticationRequired(0)