Пользователи входят в домен по смарт-карте, но при этом в политиках безопасности установлено ограничение срока действия доменного пароля. По истечению срока действия пароля пользователь не может войти по смарт-карте, т.к. появляется предупреждение "Срок действия пароля истёк" и возможность входа любым способом блокируется. Сменить доменный пароль до входа в ОС невозможно.
Штатный механизм ОС Windows не позволяет осуществить вход в систему ни по смарт-карте, ни по паролю, если срок действия доменного пароля истёк. При этом если на ПК установлен клиент для работы со смарт-картой, то меняется Credential Provider, что не позволяет поменять пароль до входа в систему.
Установить в политиках безопасности параметр "Интерактивный вход в систему: требовать смарт-карту". В этом случае система не проверяет действительность доменного пароля.
Установить в политиках безопасности параметр "Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее". В этом случае пользователь может поменять пароль до того, как закончится срок действия.
Снять ограничение срока действия пароля.