Kerberos- og NTLM-godkendelsesfejl på grund af duplikerede SIM-kort

Symptomer 

Du kan opleve Kerberos- og NTLM-godkendelsesfejl (New Technology LAN Manager) på tværs af enheder, der har duplikerede sikkerheds-id'er (SID'er). Dette problem kan opstå i Windows 11 version 24H2, Windows 11, version 25H2 og Windows Server 2025, når du har installeret de Windows-opdateringer, der er udgivet på og efter: 

• 29. august 2025 – KB5064081 (OS Build 26100.5074) Preview

• 9. september 2025 – KB5065426 (OS-build 26100.6584)

Disse godkendelsesfejl kan manifestere sig som en række symptomer, herunder: 

• Brugere bliver gentagne gange bedt om at angive legitimationsoplysninger.

• Adgangsanmodninger med gyldige legitimationsoplysninger mislykkes med fejl på skærmen, f.eks.:

  • Logonforsøget mislykkedes.

  • Logon mislykkedes/dine legitimationsoplysninger fungerede ikke.

  • Der er en delvis uoverensstemmelse i computer-id'et.

  • Brugernavnet eller adgangskoden er forkert.

• Delte netværksmapper kan ikke åbnes via IP-adresse eller værtsnavn.

• Forbindelser til Fjernskrivebord kan ikke oprettes, herunder RDP-sessioner (Fjernskrivebordsprotokol), der startes via PAM-løsninger (Privileged Access Management) eller tredjepartsværktøjer.

• Failover-klynger mislykkes med en "adgang nægtet"-fejl.

• Logbog kan vise en af følgende fejl i Windows-logfilerne:

  • Sikkerhedsloggen indeholder fejlen SEC_E_NO_CREDENTIALS .

  • Systemloggen indeholder hændelses-id'et for Local Security Authority Server Service (lsasrv.dll): 6167 med meddelelsesteksten:

    Der er en delvis uoverensstemmelse i computer-id'et. Dette angiver, at billetten enten er blevet manipuleret, eller at den tilhører en anden startsession.

Årsag

Windows-opdateringer, der er udgivet den 29. august 2025 og derefter, omfatter ekstra sikkerhedsbeskyttelse, der gennemtvinger kontrol af SIM-kort, hvilket medfører, at godkendelse mislykkes, når enheder har duplikerede SIM-kort. Denne designændring blokerer godkendelses-handshakes mellem sådanne enheder. Mislykkede godkendelsesanmodninger, der er relateret til disse sikkerhedsbeskyttelser, identificeres af den lokale sikkerhedsautoritets servertjeneste (lsasrv.dll) hændelses-id: 6167 i systemets hændelseslog. 

Dublerede SIM-kort kan oprettes, når du udfører ikke-understøttet kloning eller duplikering af en Windows-installation uden at køre Sysprep. SID-entydighed aktiveret af Sysprep er påkrævet til os-duplikering på Windows 11, version 24H2 og 25H2 og Windows Server 2025 efter installation af Windows-opdateringer den 29. august 2025 og derefter. 

Du kan få mere at vide under Microsofts politik for diskduplikering af Windows-installationer. 

Løsning

For at få en permanent opløsning skal enheder, der indeholder duplikerede SIM-kort, genopbygges ved hjælp af understøttede metoder til kloning eller duplikering af en Windows-installation , så de har entydige SIM-kort. 

It-administratorer kan midlertidigt løse dette problem ved at installere og konfigurere en særlig Gruppepolitik. Hvis du vil have denne særlige Gruppepolitik, skal du kontakte Microsofts support til virksomheder.