Selhání ověřování kerberos a NTLM kvůli duplicitním identifikátorům SID

Příznaky 

Na zařízeních, která mají duplicitní identifikátory ZABEZPEČENÍ (SID), může docházet k selháním ověřování Kerberos a NTLM (New Technology LAN Manager). K tomuto problému může dojít v Windows 11, verze 24H2, Windows 11, verze 25H2 a Windows Server 2025 po instalaci aktualizací Windows vydaných v a po: 

• 29. srpna 2025 – KB5064081 (build operačního systému 26100.5074) Preview

• 9. září 2025 – KB5065426 (build operačního systému 26100.6584)

Tato selhání ověřování se můžou projevit jako různé příznaky, mezi které patří: 

• Uživatelům se opakovaně zobrazuje výzva k zadání přihlašovacích údajů.

• Žádosti o přístup s platnými přihlašovacími údaji selžou s chybami na obrazovce, například:

  • Pokus o přihlášení se nezdařil.

  • Přihlášení se nezdařilo nebo vaše přihlašovací údaje nefungují.

  • V ID počítače dochází k částečné neshodě.

  • Uživatelské jméno nebo heslo je nesprávné.

• Ke sdíleným síťovým složkám není možné přistupovat přes IP adresu nebo název hostitele.

• Nelze navázat připojení ke vzdálené ploše, včetně relací protokolu RDP (Remote Desktop Protocol) iniciovaných prostřednictvím řešení Privileged Access Management (PAM) nebo nástrojů třetích stran.

• Clustering s podporou převzetí služeb při selhání selže s chybou odepření přístupu.

• Prohlížeč událostí se v protokolech Windows může zobrazit jedna z následujících chyb:

  • Protokol zabezpečení obsahuje chybu SEC_E_NO_CREDENTIALS .

  • Systémový protokol obsahuje ID události lsasrv.dll (Local Security Authority Server Service) 6167 s textem zprávy:

    V ID počítače dochází k částečné neshodě. To znamená, že lístek byl buď manipulován, nebo patří do jiné spouštěcí relace.

Příčina

Aktualizace Windows vydané 29. srpna 2025 a po nich zahrnují přidanou ochranu zabezpečení, která vynucuje kontroly identifikátorů SID, což způsobuje selhání ověřování, když zařízení mají duplicitní identifikátory SID. Tato změna návrhu blokuje ověřování metodou handshake mezi těmito zařízeními. Neúspěšné žádosti o ověření související s těmito ochranami zabezpečení jsou identifikovány id události služby lsasrv.dll (Local Security Authority Server Service): 6167 v protokolu událostí systému. 

Duplicitní identifikátory SID lze vytvořit při provádění nepodporovaného klonování nebo duplikování instalace systému Windows bez spuštění nástroje Sysprep. Pro duplikaci operačního systému ve verzích Windows 11 24H2 a 25H2 a 25H2 a Windows Server 2025 po instalaci aktualizací Windows 29. srpna 2025 a po jeho dokončení je vyžadována jedinečnost SID povolená nástrojem Sysprep. 

Další informace najdete v tématu Zásady Společnosti Microsoft pro duplikaci disků instalací systému Windows. 

Řešení

V případě trvalého rozlišení bude potřeba znovu vytvořit zařízení obsahující duplicitní identifikátory SID pomocí podporovaných metod klonování nebo duplikování instalace systému Windows tak, aby měla jedinečné identifikátory SID. 

Správci IT můžou tento problém dočasně vyřešit instalací a konfigurací speciálního Zásady skupiny. Pokud chcete získat tuto speciální Zásady skupiny, kontaktujte prosím podporu microsoftu pro firmy.