Първоначална дата на публикуване: 14 юли 2026 г.
ИД на БЗ: 5121391
В тази статия
- Обобщение
- Предприемане на действие
- Очаквани промени в състоянието на защита
- Отписване от автоматичното отстраняване на грешки
- Случай на събитие за неуспех на собствеността (ИД на събитие 1137)
- Записване на предишния SDDL (препоръчва се)
- Как се възстановява предишна ACL
- Препратки към събитие
- Регистър на промените
Резюме
Списъкът за контрол на достъпа (ACL) на контейнера на диспечера на разпределени ключове (DKM) навлезе в първата си фаза на подсилване с актуализацията на защитата на Windows от 14 юли 2026 г., която въведе автоматично откриване на несигурни ACL и механизъм за отстраняване на проблеми с включване.
Започвайки с актуализацията на защитата на Windows от 13 октомври 2026 г., AD FS автоматично лекува незащитените ACL на контейнер DKM по подразбиране. Администраторите могат да се отпишат, като настроят RemediateDkmAcl на 0. Тези усилия за подсилване адресират повишаване на привилегиите (EOP), което може да възникне поради уязвимостта, документирана в CVE-2026-56155 | услуги на Active Directory за улесняване на достъпа Уязвимост при повишаване на привилегиите.
В обобщение, услуги на Active Directory за улесняване на достъпа (AD FS) разчитат на контейнера DKM за съхранение на симетричните ключове, използвани за защита на сертификати за подписване на маркери и шифроване на маркери за лични ключове. Ако ACL на контейнера е прекалено разрешителен, атакуващ с достъп за четене до материала за DKM ключ може да дешифрира частните ключове за подписване на маркери.
Предприемане на действие
За да защитите вашата среда, изпълнете следните стъпки:
- Инсталирайте съответната актуализация на защитата на Windows, издадена на или след 13 октомври 2026 г., на всички сървъри AD FS.
Важно
Преди да инсталирате актуализацията на защитата, решете дали трябва да се отпишете от автоматичното отстраняване на грешки. Отписването не се препоръчва, тъй като оставя ACL на контейнера DKM в несигурно състояние.
Ако трябва да се отпишете поради конкретно изискване за съвместимост, задайте регистъра RemediateDkmAcl на 0 на всеки AD FS сървър в групата, преди да инсталирате актуализацията. Контейнерът DKM е единичен обект на Active Directory, споделен от всички AD FS сървъри в групата сървъри, и фоновата задача за ACL на DKM се изпълнява на всеки сървър. Ако RemediateDkmAcl липсва или е зададена на ненулева стойност дори на един сървър AD FS, този сървър може автоматично да поправи ACL на споделения DKM контейнер след инсталирането на актуализацията.
След инсталирането услугата AD FS проверява ACL на контейнера DKM всеки път, когато услугата стартира и на всеки 24 часа след това. Ако ACL е несигурен, AD FS опитва отстраняване автоматично, освен ако RemediateDkmAcl не е зададено на 0.
Прегледайте регистъра на събитията за Администрация на AD FS за следните събития:
ИД на събитие: 1133 показва, че ACL на контейнер DKM е защитен. Не се изисква друго действие.
ИД на събитие: 1132 показва, че ACL на контейнер DKM е незащитен и ще бъде извършено автоматично отстраняване на грешки. Подробните данни за ACL се записват в един или повече следващи записи на събитие с ИД 510 с един и същ ИД на екземпляр. Прегледайте ИД на събитие 1135, 1136 или 1137 за резултата от възстановяването и извършете следното действие въз основа на резултата.
ИД на събитие: 1135 (възстановяването е успешно) Не са необходими допълнителни действия за възстановяване. Запишете предишния ACL от следващите записи на ИД на събитие 510, както е описано в раздела "Записване на предишния SDDL".
ИД на събитие: 1136 (лечението е неуспешно) Прегледайте следващите записи за ИД на събитие 510 за текущия ACL и подробности за изключенията, коригирайте основната грешка и след това рестартирайте услугата AD FS или изчакайте следващия цикъл на откриване.
ИД на събитие: 1137 (неуспешна промяна на собствеността) Дайте разрешения WriteOwner и WriteDacl на акаунта на услугата AD FS, като следвате указанията за случай на неуспех на собствеността, и след това рестартирайте услугата AD FS или изчакайте следващия цикъл на откриване.
Събития за ACL за контейнер AD FS DKM
| ИД на събитие | Тип | Значение |
|---|---|---|
| 1132 | Предупреждение | ACL на контейнер DKM не отговаря на очакваното състояние на защита. Прегледайте събития за възстановяване 1135, 1136 и 1137. |
| 1133 | Информация | ACL на контейнер DKM е в очакваното състояние на защита. Не се изисква действие. |
| 1134 | Грешка | При задачата за откриване възникна грешка (като например LDAP неуспешна връзка). Прегледайте регистрационните файлове за отстраняване на грешки на AD FS и коригирайте основната грешка. |
| 1135 | Информация | Възстановяването на ACL на контейнер DKM завърши успешно. Записване на предишния SDDL. |
| 1136 | Грешка | Неуспешно отстраняване на ACL на контейнер DKM. Прегледайте свързаните записи на събитие с ИД 510 и проследяванията за отстраняване на грешки AD FS и коригирайте основната грешка. |
| 1137 | Грешка | AD FS не можа да поеме собственост върху DKM контейнера, тъй като акаунтът за услуга не разполага с необходимите разрешения. Дайте необходимите разрешения |
| 510 | Информация | Съдържа ACL или подробности за изключения, които препълват от ИД на събитие 1132, 1135 или 1136. Съпоставяне на записи по ИД на екземпляр. |
Очаквани промени в състоянието на защита
След отстраняването само следните субекти ще имат достъп до контейнера DKM:
| "главница" | Права на достъп |
|---|---|
| Domain Admins | Общо всички (пълен контрол) |
| Корпоративни администратори | Общо всички (пълен контрол) |
| Система | Общо всички (пълен контрол) |
| Акаунт за услуга AD FS | четене, писане, създаване на дете, писане на собственик, изтриване на дърво |
Забележка Наследяването се забранява и всички наследени ACEs се отхвърлят. Всички други изрично разрешени ACE, които не са в списъка по-горе, се премахват.
Отписване от автоматичното отстраняване на грешки
Важно
Този раздел, метод или задача съдържа информация за това как да промените регистъра. Ако обаче промените системния регистър по неправилен начин, е възможно да възникнат сериозни проблеми. Затова следвайте тези стъпки внимателно. За допълнителна защита, архивирайте системния регистър, преди да го променяте. След това можете да възстановите системния регистър, ако възникне проблем. За повече информация относно начините за архивиране и възстановяване на системния регистър вижте "Как се архивира и възстановява системният регистър в Windows".
Лечението е разрешено по подразбиране, когато RemediateDkmAcl липсва или е зададена на ненулева стойност. Ако трябва да се отпишете поради конкретно изискване за съвместимост, задайте стойността на 0 на всеки AD FS сървър в групата, преди да инсталирате актуализацията. Отписването не се препоръчва, тъй като оставя ACL на контейнера DKM в несигурно състояние.
| Информация | Детайли |
|---|---|
| Ключ от системния регистър: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS |
| Стойност: | RemediateDkmAcl |
| Тип: | DWORD |
| Данни: | 0 |
Случай на събитие за неуспех на собствеността (ИД на събитие 1137)
ИД на събитие: 1137 показва, че AD FS не е могло да поеме собственост върху контейнера DKM, тъй като акаунтът за услуга не разполага с необходимите разрешения. Това състояние се очаква най-често на сървърни групи, първоначално създадени на Windows Server 2012 или Windows Server 2012 R2. В този случай дайте необходимите разрешения за акаунта за услугата AD FS, като следвате стъпките по-долу на всеки един сървър на AD FS в групата сървър. В противен случай опитите за лечение ще продължат да бъдат неуспешни.
Идентифицирайте DN на контейнера DKM:
$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer $dkmContainerDnИдентифицирайте акаунта за услуга AD FS:
$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName $serviceAccountGrant explicit Allow ACEs for WriteOwner и WriteDacl:
$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( $sid, ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), [System.Security.AccessControl.AccessControlType]::Allow, [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All ) $entry.ObjectSecurity.AddAccessRule($rule) $entry.CommitChanges() $entry.Close()След предоставянето на необходимите разрешения или:
- Изчакайте до 24 часа за следващия цикъл на откриване
- Рестартирайте услугата AD FS, за да задействате лечение по-рано
При успешно отстраняване на проблеми ИД на събитие: 1135 (Информация) се регистрира с предишния ACL в SDDL формат.
Записване на предишния SDDL (препоръчва се)
Като предпазна мярка препоръчваме да се запази предишният ACL (SDDL) от ИД на събитие: 510 записа, свързани с ИД на събитие: 1135, след успешно отстраняване на грешки. ИД на събитие: 1135 съдържа ИД на екземпляра, използван за идентифициране на свързаните записи за ИД на събитие: 510. Макар че предишният ACL не се очаква да е необходим в повечето случаи (тъй като първоначалните разрешения са били несигурни), наличието му предоставя предпазна мрежа при непредвидени проблеми със съвместимостта.
Забележка
Регистрите на събитията може да се преместят поради ограничения на размера. Ако имате нужда от предишния SDDL в бъдеще и събитието е било заместено, то ще бъде загубено окончателно.
Можете ръчно да копирате и комбинирате SDDL от записа "ИД на събитие: 510", които имат ИД на екземпляра, адресиран от ИД на събитие: 1135. Можете също да използвате следния скрипт на PowerShell, за да съберете съответстващия ИД на събитие: 510 записи и да запишете SDDL във файл:
New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null
$event = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 1135
} -MaxEvents 1
if ($null -eq $event) {
throw 'Event ID 1135 was not found.'
}
if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
throw 'Instance ID was not found in Event ID 1135.'
}
$instanceId = $Matches[1]
$details = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 510
StartTime = $event.TimeCreated
EndTime = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$instanceId*" } |
Sort-Object RecordId |
ForEach-Object {
if ($_.Message -match '(?s)Details:\s*(.*)$') {
$Matches[1]
}
}
if (-not $details) {
throw "No Event ID 510 entries were found for Instance ID $instanceId."
}
[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())
Как се възстановява предишна ACL
Ако имате проблеми след лечението и трябва да се върнете към предишния ACL:
# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>"
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>”
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn")
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All)
$entry.CommitChanges()
$entry.Close()
Забележка
Тази команда изисква акаунтът, който я изпълнява, да има SeSecurityPrivilege (обикновено администраторите на домейни имат такава). Изпълнете това от сесия на PowerShell с администраторски права на машина, присъединена към домейн.
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord
След възстановяването задайте RemediateDkmAcl = 0 на всеки AD FS сървър в групата, за да предотвратите повторното отстраняване на неизправности от услугата през следващия цикъл.
Препратки към събитие
Идентификатор на събитие: 1132 — ACL на контейнер DKM изисква преглед
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Предупреждение |
| Източник на събитие | AD FS |
| ИД на събитие | 1132 |
| Текст на събитие | AD FS откри, че ACL на контейнер на диспечер на разпределени ключове (DKM) не отговаря на очакваното състояние на защита. Контейнерът DKM съхранява симетрични ключове, използвани за защита на материала за ключове за подписване на маркери. DN на контейнера: <DN> Очакваното състояние на защита е забранено наследяване и само администраторите на домейна, корпоративните администратори, SYSTEM и акаунтът за услугата AD FS имат достъп. AD FS ще се опита автоматично да отстрани ACL. Лечението се извършва незабавно и на всеки 24 часа след това, докато ACL достигне очакваното състояние на защита. Вижте събитие 1135 (възстановяването е успешно) или събитие 1136/1137 (лечението е неуспешно) за резултата. Ако искате да се отпишете от автоматичното отстраняване на грешки, задайте HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) на 0. За указания вижте https://go.microsoft.com/fwlink/?linkid=2369796. Допълнителни данни Наследяването е забранено: <Да/не> Текущ ACL (SDDL): Вижте записи за събитие 510 с ИД на екземпляр: <ИД на екземпляр> |
Идентификатор на събитие: 1133 — ACL на DKM контейнер е изправен
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Информация |
| Източник на събитие | AD FS |
| ИД на събитие | 1133 |
| Текст на събитие | Фоновата задача за ACL на DKM прегледа ACL на контейнера за подсилване на защитата. Контейнерът има правилните настройки и не се изискват допълнителни действия. DN на контейнера: <DN> |
ИД на събитие: 1134 – Грешка при откриване
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Грешка |
| Източник на събитие | AD FS |
| ИД на събитие | 1134 |
| Текст на събитие | Фонова задача за проверка на ACL на контейнер AD FS DKM откри грешка. DN на контейнера: <DN> Допълнителни данни Подробности за изключения: <изключение> Действие на потребителя Прегледайте регистрационните файлове за отстраняване на грешки AD FS за повече подробности. Уверете се, че акаунтът за услуга AD FS има достъп до контейнера на групата DKM в Active Directory. |
ИД на събитие: 1135 — Възстановяването е успешно
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Информация |
| Източник на събитие | AD FS |
| ИД на събитие | 1135 |
| Текст на събитие | AD FS успешно защити ACL на контейнера на диспечера на разпределени ключове (DKM). DN на контейнера: <DN> ACL на контейнер сега дава достъп само на администраторите на домейна, корпоративните администратори, SYSTEM и акаунта за услугата AD FS. Наследяването е блокирано, а всички други разрешения са премахнати. Забележка: Автоматичното отстраняване няма да се изпълни отново, докато ACL не съвпадне с базовата линия. Ако искате да се отпишете за постоянно от автоматичното отстраняване на грешки, дори ако ACL се отклони в бъдеще, задайте HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) на 0. Предишният ACL е включен във формата SDDL по-долу. Ако трябва да възстановите първоначалните разрешения, вж. https://go.microsoft.com/fwlink/?linkid=2369796 Допълнителни данни Предишен ACL (SDDL): Вижте записи за събитие 510 с ИД на екземпляр: <ИД на екземпляр> |
ИД на събитие: 1136 – Лечението е неуспешно
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Грешка |
| Източник на събитие | AD FS |
| ИД на събитие | 1136 |
| Текст на събитие | AD FS се опита да отстрани ACL на контейнер на диспечер на разпределени ключове (DKM), но не успя. DN на контейнера: <DN> User ActionAutoRemediation ще опита отново следващия цикъл на откриване (в рамките на 24 часа). Ако предпочитате да коригирате ACL ръчно, прегледайте и коригирайте ACL на контейнера на групата DKM. Само администраторите на домейна, корпоративните администратори, SYSTEM и акаунтът за услуга AD FS трябва да имат достъп. За да забраните автоматичното отстраняване на грешки, задайте HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) на 0. За указания вижте https://go.microsoft.com/fwlink/?linkid=2369796 Допълнителни данни Текущ ACL (SDDL) и подробности за изключения: Вижте записи за събитие 510 с ИД на екземпляр: <ИД на екземпляр> |
ИД на събитие: 1137 – Грешка при смяна на собствеността
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Грешка |
| Източник на събитие | AD FS |
| ИД на събитие | 1137 |
| Текст на събитие | AD FS се опита да поправи ACL на контейнер на диспечер на разпределени ключове (DKM), но не можа да поеме собствеността, тъй като акаунтът за услугата AD FS няма необходимите разрешения. Това се очаква за групи групи, първоначално създадени на Windows Server 2012 или Windows Server 2012 R2. DN на контейнера: <DN> Действие на потребителя Дайте необходимите разрешения за акаунта за услугата AD FS, за да бъде лечението успешно. Автоматичното отстраняване ще опита отново при следващия цикъл на откриване (в рамките на 24 часа) или при рестартиране на услугата. Ако предпочитате да коригирате ACL ръчно, прегледайте и коригирайте ACL на контейнера на групата DKM. Само администраторите на домейна, корпоративните администратори, SYSTEM и акаунтът за услуга AD FS трябва да имат достъп. За да забраните автоматичното отстраняване на грешки, задайте HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) на 0. За указания вижте https://go.microsoft.com/fwlink/?linkid=2369796 |
ИД на събитие: 510 – Допълнителна информация за ACL
| Информация | Детайли |
|---|---|
| Регистър на събитията | AD FS/Администрация |
| Тип събитие | Информация |
| Източник на събитие | AD FS |
| ИД на събитие | 510 |
| Текст на събитие | Повече информация за записа на събитие с ИД на екземпляр. Възможно е да има още събития с един и същ ИД на екземпляр с повече информация. ИД на екземпляра: <ИД на екземпляр> Подробни данни: <ACL или изключение на детайлен сегмент> За големи ACL могат да се регистрират няколко записа на събитие с ИД 510. Първо се регистрира свързаният ИД на събитие 1132, 1135 или 1136, следван от записите с ИД на събитие 510 със същия ИД на екземпляр. |
Регистър на промените
| Промяна на датата | Описание на промяната |
|---|---|
| 13 октомври 2026 г. |
|