故障現象

加入域的筆電帶回家/出差，**脫離公司網路後無法用域帳號登入**，提示「沒有登入伺服器可處理登入請求」。

根因：快取登入次數被設為 0

預設域策略或本地策略將 **「互動式登入：可被快取的前次登入次數 (網域控制站無法使用時)」** 設為 **0**，導致**無任何憑證快取**，離線必須連上 DC 驗證，自然失敗。

一鍵修復 (本地策略/域策略均可)

1. 執行 `secpol.msc` (本地) 或 `gpmc.msc` (域 GPO) → **本地原則 → 安全性選項**。
2. 找到 **「互動式登入：可被快取的前次登入次數 (網域控制站無法使用時)」**。
3. 將數值從 **0 改為 5 (或 1-50 任意非零值)** → 確定。
4. `gpupdate /force` 或 **重啟電腦** 生效。

關鍵知識點

• **此值 = 快取的不同使用者帳號數量**，非登入次數。預設 10 (Win10/11)、50 (上限)。
• **快取憑證無過期時間**，除非手動清除或超過上限被擠出。
• **安全性考量**：攜帶敏感資料筆電建議配合 **BitLocker 加密整顆磁碟**，防止實體竊取後離線暴力破解快取雜湊。
• **清除快取**：`rundll32.exe keymgr.dll, KRShowKeyMgr` → 移除已儲存的網域憑證。

域環境最佳實踐 (GPO 推送)

GPO: Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options
Setting: "Interactive logon: Number of previous logons to cache (in case domain controller is not available)"
Value: 10 (平衡可用性與安全性)
Scope: 所有攜帶型/行動裝置 OU (筆電、平板、Surface 等)
WMI Filter: (可選) ChassisType = 'Portable' 僅對筆電生效

故障排查延伸：若設非零仍無法離線登入

1. 確認**曾在線時成功登入過** (至少一次完整域認證才能建立快取)。
2. 檢查 `HKEY_LOCAL_MACHINE\SECURITY\Cache` 權限 (SYSTEM 全控、Administrators 讀取)。
3. 檢查是否啟用 **智慧卡強制登入** / **Windows Hello 企業版** 等需硬體介入的認證方式。
4. 事件檢視器 → Security → Event ID 4624 (登入類型 11 = CachedInteractive) 確認是否走快取。