KB5020276–Netjoin: Änderungen bei der Härtung des Domänenbeitritts

Zusammenfassung

Windows-Updates, die am und nach dem 11. Oktober 2022 veröffentlicht wurden, enthalten zusätzliche Schutzmaßnahmen, die mit CVE-2022-38042 eingeführt wurden. Diese Schutzmaßnahmen verhindern absichtlich, dass Domänenbeitritte ein vorhandenes Computerkonto in der Zieldomäne wiederverwenden, es sei denn:

• Der Benutzer, der den Vorgang versucht, der Ersteller des vorhandenen Kontos ist, oder
• Der Computer wurde von einem Mitglied von Domänenadministratoren erstellt, oder

• Der Besitzer des Computerkontos, das wiederverwendet wird, ist ein Mitglied des "Domänencontrollers: Wiederverwendung von Computerkonten während des Domänenbeitritts zulassen". Einstellung für Gruppenrichtlinie. Diese Einstellung erfordert die Installation von Windows-Updates, die am oder nach dem 14. März 2023 veröffentlicht wurden, auf ALLEN Mitgliedscomputern und Domänencontrollern.

Updates, die am und nach dem 14. März 2023 und dem 12. September 2023 veröffentlicht wurden, bieten zusätzliche Optionen für betroffene Kunden unter Windows Server 2012 R2 und höher sowie für alle unterstützten Clients. Weitere Informationen finden Sie in den Abschnitten "Verhalten am 11. Oktober 2022 " und " Maßnahmen ergreifen ".

Verhalten vor dem 11. Oktober. 2022

Bevor Sie die kumulativen Updates vom 11. Oktober 2022 oder höher installieren, fragt der Clientcomputer Active Directory nach einem vorhandenen Konto mit demselben Namen ab. Diese Abfrage tritt während des Domänenbeitritts und der Bereitstellung von Computerkonten auf. Wenn ein solches Konto vorhanden ist, versucht der Client automatisch, es wiederzuverwenden.

Dies sind zwei Szenarien für den Domänenbeitritt mit den jeweiligen Standardverhalten und Flags wie folgt:

• Domänenbeitritt (NetJoinDomain)

  • Standardmäßig wird das Konto wiederverwendet (es sei denn , NETSETUP_NO_ACCT_REUSE Flag ist angegeben)

• Kontobereitstellung (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Der Standardwert ist KEINE Wiederverwendung (es sei denn , NETSETUP_PROVISION_REUSE_ACCOUNT ist angegeben).

Verhalten vom 11. Oktober 2022

Nachdem Sie die kumulativen Windows-Updates vom 11. Oktober 2022 oder später auf einem Clientcomputer installiert haben, führt der Client während des Domänenbeitritts zusätzliche Sicherheitsprüfungen durch, bevor er versucht, ein vorhandenes Computerkonto wiederzuverwenden. Algorithmus:

1. Der Versuch der Wiederverwendung des Kontos ist zulässig, wenn der Benutzer, der den Vorgang versucht, der Ersteller des vorhandenen Kontos ist.
2. Der Versuch der Wiederverwendung des Kontos ist zulässig, wenn das Konto von einem Mitglied von Domänenadministratoren erstellt wurde.

Diese zusätzlichen Sicherheitsprüfungen werden durchgeführt, bevor Sie versuchen, eine Verbindung zum Computer herzustellen. Wenn die Überprüfungen erfolgreich sind, unterliegt der Rest des Beitrittsvorgangs wie bisher den Active Directory-Berechtigungen.

Diese Änderung wirkt sich nicht auf neue Konten aus.

Verhalten vom 14. März 2023

In den Windows-Updates, die am oder nach dem 14. März 2023 veröffentlicht wurden, haben wir einige Änderungen an der Sicherheitshärtung vorgenommen. Diese Änderungen umfassen alle Änderungen, die wir am 11. Oktober 2022 vorgenommen haben.

Zunächst haben wir den Kreis der Gruppen erweitert, die von dieser Härtung ausgenommen sind. Neben Domänenadministratoren sind jetzt auch die Gruppen "Organisationsadministratoren" und "Integrierte Administratoren" von der Besitzprüfung ausgenommen.

Zweitens haben wir eine neue Einstellung für Gruppenrichtlinien implementiert. Administratoren können damit eine Zulassungsliste vertrauenswürdiger Computerkontobesitzer festlegen. Das Computerkonto umgeht die Sicherheitsüberprüfung, wenn eine der folgenden Bedingungen zutrifft:

Das Konto gehört einem Benutzer, der in der Gruppenrichtlinie "Domänencontroller: Wiederverwendung von Computerkonten während des Domänenbeitritts zulassen" als vertrauenswürdiger Besitzer angegeben ist.

Das Konto gehört einem Benutzer, der Mitglied einer Gruppe ist, die in der Gruppenrichtlinie "Domänencontroller: Wiederverwendung von Computerkonten während des Domänenbeitritts zulassen" als vertrauenswürdiger Besitzer angegeben ist.

Um diese neue Gruppenrichtlinie verwenden zu können, müssen auf dem Domänencontroller und dem Mitgliedscomputer durchgängig das Update vom 14. März 2023 oder höher installiert sein. Einige von Ihnen haben möglicherweise bestimmte Konten, die sie für die automatische Erstellung von Computerkonten verwenden. Wenn diese Konten vor Missbrauch geschützt sind und Sie ihnen vertrauen, Computerkonten zu erstellen, können Sie sie ausschließen. Sie sind weiterhin vor der ursprünglichen Sicherheitslücke geschützt, die durch die Windows-Updates vom 11. Oktober 2022 entschärft wurde.

Verhalten vom 12. September 2023

In den Windows-Updates, die am oder nach dem 12. September 2023 veröffentlicht wurden, haben wir einige zusätzliche Änderungen an der Sicherheitshärtung vorgenommen. Diese Änderungen umfassen alle Änderungen, die wir am 11. Oktober 2022 vorgenommen haben, und die Änderungen ab dem 14. März 2023.

Wir haben ein Problem behoben, bei dem der Domänenbeitritt mit Smart Karte-Authentifizierung unabhängig von der Richtlinieneinstellung fehlschlug. Um dieses Problem zu beheben, haben wir die verbleibenden Sicherheitsüberprüfungen zurück auf den Domänencontroller verschoben. Daher führen Clientcomputer nach dem Sicherheitsupdate vom September 2023 authentifizierte SAMRPC-Aufrufe an den Domänencontroller aus, um Sicherheitsüberprüfungsprüfungen im Zusammenhang mit der Wiederverwendung von Computerkonten durchzuführen.

Dies kann jedoch dazu führen, dass der Domänenbeitritt in Umgebungen fehlschlägt, in denen die folgende Richtlinie festgelegt ist: Netzwerkzugriff: Schränken Sie Clients ein, die Remoteanrufe an SAM ausführen dürfen.  Im Abschnitt "Bekannte Probleme" finden Sie Informationen zum Beheben dieses Problems.

Verhalten vom 13. August 2024

In den Windows-Updates, die am oder nach dem 13. August 2024 veröffentlicht wurden, haben wir alle bekannten Kompatibilitätsprobleme mit der Zulassungslistenrichtlinie behoben. Wir haben auch die Unterstützung für den Schlüssel NetJoinLegacyAccountReuse entfernt. Das Härtungsverhalten bleibt unabhängig von der Tasteneinstellung erhalten. Die geeigneten Methoden zum Hinzufügen von Ausnahmen sind im Abschnitt "Maßnahmen ergreifen" unten aufgeführt.

Handeln Sie

Konfigurieren Sie die neue Zulassungsliste mithilfe der Gruppenrichtlinie auf einem Domänencontroller, und entfernen Sie alle veralteten clientseitigen Problemumgehungen. Führen Sie dann die folgenden Schritte aus:

1. Sie müssen die Updates vom 12. September 2023 oder höher auf allen Mitgliedscomputern und Domänencontrollern installieren.

2. Konfigurieren Sie die Einstellungen in einer neuen oder vorhandenen Gruppenrichtlinie, die für alle Domänencontroller gilt.

3. Doppelklicken Sie unter Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen auf Domänencontroller: Wiederverwendung von Computerkonten während des Domänenbeitritts zulassen.

4. Wählen Sie Diese Richtlinieneinstellung definieren und <Sicherheit bearbeiten.>

5. Verwenden Sie die Objektauswahl, um Benutzer oder Gruppen vertrauenswürdiger Ersteller und Besitzer von Computerkonten zur Berechtigung "Zulassen " hinzuzufügen. (Als bewährte Methode wird dringend empfohlen, Gruppen für Berechtigungen zu verwenden.) Fügen Sie nicht das Benutzerkonto hinzu, mit dem der Domänenbeitritt ausgeführt wird.

   Warnung

   Beschränken Sie die Mitgliedschaft in der Richtlinie auf vertrauenswürdige Benutzer und Dienstkonten. Fügen Sie dieser Richtlinie keine authentifizierten Benutzer, nicht alle Personen oder andere große Gruppen hinzu. Fügen Sie stattdessen bestimmte vertrauenswürdige Benutzer und Dienstkonten zu Gruppen hinzu und fügen Sie diese Gruppen der Richtlinie hinzu.

6. Warten Sie, bis das Aktualisierungsintervall der Gruppenrichtlinie erreicht ist, oder führen Sie gpupdate /force auf allen Domänencontrollern aus.

7. Stellen Sie sicher, dass der Registrierungsschlüssel HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" mit der gewünschten SDDL gefüllt ist. Bearbeiten Sie die Registrierung nicht manuell.

8. Versuchen Sie, einem Computer beizubinden, auf dem die Updates vom 12. September 2023 oder höher installiert sind. Stellen Sie sicher, dass eines der in der Richtlinie aufgeführten Konten Besitzer des Computerkontos ist. Wenn der Domänenbeitritt fehlschlägt, überprüfen Sie die c:\windows\debug-\netsetup.log.

Wenn Sie weiterhin eine alternative Problemumgehung benötigen, überprüfen Sie die Workflows zur Bereitstellung von Computerkonten, und verstehen Sie, ob Änderungen erforderlich sind.

1. Führen Sie den Verknüpfungsvorgang mit demselben Konto durch, mit dem das Computerkonto in der Zieldomäne erstellt wurde.
2. Wenn das vorhandene Konto veraltet (nicht verwendet) ist, löschen Sie es, bevor Sie erneut versuchen, der Domäne beizutreten.
3. Benennen Sie den Computer um, und nehmen Sie mit einem anderen Konto teil, das noch nicht vorhanden ist.
4. Wenn das vorhandene Konto im Besitz eines vertrauenswürdigen Sicherheitsprinzipals ist und ein Administrator das Konto wiederverwenden möchte, folgen Sie den Anweisungen im Abschnitt "Maßnahmen ergreifen", um die Windows-Updates vom September 2023 oder höher zu installieren und eine Zulassungsliste zu konfigurieren.

Nichtlösungen

• Fügen Sie der Sicherheitsgruppe "Domänenadministratoren" keine Dienst- oder Bereitstellungskonten hinzu.
• Bearbeiten Sie die Sicherheitsbeschreibung für Computerkonten nicht manuell, um den Besitz dieser Konten neu zu definieren, es sei denn, das Konto des vorherigen Besitzers wurde gelöscht. Während die Bearbeitung des Besitzers die neuen Überprüfungen erfolgreich macht, behält das Computerkonto möglicherweise dieselben potenziell riskanten, unerwünschten Berechtigungen für den ursprünglichen Besitzer bei, es sei denn, es wird explizit überprüft und entfernt.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Bekannte Probleme