Senha expirada no acesso remoto

Senha expirada RDP: em servidor com NLA exigido, a conexão falha antes do logon e o Windows não oferece a troca da senha. Foi o que encontramos em um cliente com Active Directory, Terminal Services e acesso externo por VPN. Abaixo: a causa, a política que alteramos, o comando de conferência e o resultado do teste final.

Senha expirada RDP: sintoma e causa

Com NLA (Network Level Authentication) exigido, o servidor autentica o usuário antes de criar a sessão. Com a senha vencida, a conexão não chega à tela de logon, que é onde o Windows ofereceria a troca.

Em Windows em inglês, a mensagem inclui “The Local Security Authority cannot be contacted”, com a dica de senha expirada. A Microsoft descreve esse comportamento no KB 2879424.

Correção: desabilitar a exigência de NLA (política local)

Antes de alterar, registre o estado atual: Propriedades do Sistema → Remoto (opção de permitir conexões somente com NLA) e a política abaixo (Habilitada, Desabilitada ou Não configurada).

Executado no cliente, no próprio servidor de Terminal Services:

1. Abra o editor de política local:

   gpedit.msc

2. Navegue até: Configuração do Computador → Modelos Administrativos → Componentes do Windows → Serviços de Área de Trabalho Remota → Host de Sessão da Área de Trabalho Remota → Segurança.
3. Abra a política Exigir autenticação de usuário para conexões remotas usando Autenticação no Nível da Rede, marque Desabilitado e clique em Aplicar.

Senha expirada RDP: conferir a política aplicada

No PowerShell:

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name UserAuthentication

Resultado obtido:

UserAuthentication : 0

• 1: política exige NLA;
• 0: política configurada para não exigir NLA.

Isso confirma que a política foi gravada no servidor. O efeito para o usuário está na seção do teste final, logo abaixo.

Teste final: troca de senha expirada pelo RDP

Resultado obtido no cliente: após a alteração da política, a troca de senha expirada pelo RDP funcionou.

Para reproduzir o teste sem esperar o vencimento, use uma conta de teste com a opção “O usuário deve alterar a senha no próximo logon”, condição que o KB 2879424 trata como equivalente à senha expirada. O contorno também está documentado no KB 2648402.

FAQ: senha expirada RDP e NLA

Por que o RDP não deixa trocar a senha expirada?

Com NLA ativo, a autenticação acontece antes da sessão existir. Se a senha está vencida, o servidor recusa a conexão e a tela de troca de senha do Windows não aparece. A Microsoft documenta esse comportamento no KB 2879424, inclusive para contas marcadas para alterar a senha no próximo logon.

Desativar o NLA resolve a troca de senha expirada?

No cenário do nosso cliente, sim: depois de desabilitar a política, a troca de senha expirada pelo RDP funcionou no teste final. A Microsoft também lista a desativação como contorno no KB 2648402. Em contrapartida, a mudança reduz uma camada de segurança, então avalie por ambiente e mantenha o caminho de reversão.

Existe alternativa sem desativar o NLA?

Há dois caminhos descritos: trocar a senha antes, em uma sessão autenticada com outro usuário (KB 2879424), ou usar a página de troca de senha do RD Web Access, que exige esse serviço instalado no ambiente. Ambos mantêm a verificação prévia ligada, mas dependem de como o acesso foi publicado.

Fontes técnicas

• Microsoft: KB 2879424, falha na troca de senha expirada com NLA
• Microsoft: KB 2648402, senha expirada em sessão RDP com NLA
• Microsoft TechNet: política de autenticação no nível da rede
• Guia técnico complementar: TechRepublic, troca de senha via RD Web Access

Veja também: RDS instável no Windows Server 2019, 2022 e 2025 e alerta “Conexão remota desconhecida” no RDP.

Precisa de apoio especializado em um ambiente empresarial? Conheça o suporte gerenciado da Thompsontech.