KB5014754: Zertifikatbasierte Authentifizierungsänderungen auf Windows-Domänencontrollern

Es konnten keine starken Zertifikatzuordnungen gefunden werden, und das Zertifikat wies nicht die neue Sicherheits-ID (SID)-Erweiterung auf, die das KDC überprüfen konnte.

Das Zertifikat wurde für den Benutzer ausgestellt, bevor der Benutzer in Active Directory vorhanden war und keine starke Zuordnung gefunden werden konnte. Dieses Ereignis wird nur protokolliert, wenn sich der KDC im Kompatibilitätsmodus befindet.

Die in der neuen Erweiterung des Benutzerzertifikats enthaltene SID stimmt nicht mit der SID des Benutzers überein, was bedeutet, dass das Zertifikat für einen anderen Benutzer ausgestellt wurde.

Hinweis Bestimmte Felder wie Aussteller, Betreff und Seriennummer werden im Weiterleitungsformat gemeldet. Sie müssen dieses Format umkehren, wenn Sie die Zuordnungszeichenfolge dem altSecurityIdentities-Attribut hinzufügen. Wenn Sie beispielsweise die X509AusstellerSerialNumber-Zuordnung zu einem Benutzer hinzufügen möchten, durchsuchen Sie die Felder "Aussteller" und "Seriennummer" des Zertifikats, das Sie dem Benutzer zuordnen möchten. Sehen Sie sich die Beispielausgabe unten an.

• Aussteller: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Seriennummer: 2B0000000011AC0000000012

Aktualisieren Sie dann das altSecurityIdentities-Attribut des Benutzers in Active Directory mit der folgenden Zeichenfolge:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Um dieses Attribut mithilfe von PowerShell zu aktualisieren, können Sie den folgenden Befehl verwenden. Beachten Sie, dass standardmäßig nur Domänenadministratoren über die Berechtigung zum Aktualisieren dieses Attributs verfügen.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Beachten Sie, dass Sie beim Umkehren der Seriennummer die Bytereihenfolge beibehalten müssen. Dies bedeutet, dass das Umkehren der Seriennummer "A1B2C3" zu der Zeichenfolge "C3B2A1" und nicht zu "3C2B1A" führen sollte. Weitere Informationen finden Sie unter HowTo: Zuordnen eines Benutzers zu einem Zertifikat über alle Methoden, die im Attribut altSecurityIdentities verfügbar sind.

Sobald Sie die Windows-Updates vom 10. Mai 2022 installiert haben, befinden sich die Geräte im Kompatibilitätsmodus. Wenn ein Zertifikat einem Benutzer stark zugeordnet werden kann, erfolgt die Authentifizierung wie erwartet. Wenn ein Zertifikat nur schwach einem Benutzer zugeordnet werden kann, erfolgt die Authentifizierung wie erwartet. Eine Warnmeldung wird jedoch protokolliert, es sei denn, das Zertifikat ist älter als das des Benutzers. Wenn das Zertifikat älter als der Benutzer ist und der Registrierungsschlüssel für die Zertifikatrückdatierung nicht vorhanden ist oder der Bereich außerhalb der Rückdatierungskompensation liegt, schlägt die Authentifizierung fehl, und eine Fehlermeldung wird protokolliert.  Wenn der Registrierungsschlüssel Zertifikatrückdatierung konfiguriert ist, protokolliert er eine Warnmeldung im Ereignisprotokoll, wenn die Datumsangaben in die Rückdatierungsentschädigung fallen.

Achten Sie nach der Installation der Windows-Updates vom 10. Mai 2022 auf Warnmeldungen, die nach mindestens einem Monat angezeigt werden. Wenn keine Warnmeldungen angezeigt werden, wird dringend empfohlen, den vollständigen Erzwingungsmodus auf allen Domänencontrollern zu aktivieren, die die zertifikatbasierte Authentifizierung verwenden. Sie können den KDC-Registrierungsschlüssel verwenden, um den vollständigen Erzwingungsmodus zu aktivieren.

Sofern nicht zuvor mithilfe des Registrierungsschlüssels StrongCertificateBindingEnforcement auf den Überwachungsmodus oder den Erzwingungsmodus aktualisiert wurde, wechseln Domänencontroller mit der Installation des Windows-Sicherheitsupdates vom Februar 2025 in den vollständigen Erzwingungsmodus. Die Authentifizierung wird verweigert, wenn ein Zertifikat nicht stark zugeordnet werden kann. Die Option, zum Kompatibilitätsmodus zurückzukehren, bleibt bestehen, bis das Windows-Sicherheitsupdate vom 9. September 2025 installiert wird. Nach diesem Datum wird der Registrierungsschlüssel StrongCertificateBindingEnforcement nicht mehr unterstützt

Wenn die zertifikatbasierte Authentifizierung auf einer schwachen Zuordnung basiert, die Sie nicht aus der Umgebung verschieben können, können Sie die Domänencontroller mithilfe einer Registrierungsschlüsseleinstellung in den deaktivierten Modus versetzen. Microsoft empfiehlt dies nicht , und wir werden den deaktivierten Modus am 11. April 2023 entfernen.

Sobald Sie die Windows-Updates vom 13. Februar 2024 oder höher auf Server 2019 und höher installiert und Clients mit installiertem optionalem RSAT-Feature unterstützt haben, wählt die Zertifikatszuordnung in Active Directory-Benutzer & -Computern standardmäßig eine starke Zuordnung mit X509IssuerSerialNumber anstelle einer schwachen Zuordnung mit X509IssuerSubject aus. Die Einstellung kann weiterhin nach Belieben geändert werden.

Symptome

Microsoft hat Berichte erhalten, dass die Einstellung "Verarbeiten, auch wenn sich die Gruppenrichtlinie Objekte nicht geändert haben" unter dem Gruppenrichtlinie Objekt "Computer Configuration>Administrative Templates>System>Gruppenrichtlinie> Configuration Registry Policy Processing" kann zeitweise die namensbasierten Zuordnungen auf Domänencontrollern beeinträchtigen.

Problemumgehung

Um dieses Problem zu umgehen, deaktivieren Sie die Einstellung "Verarbeiten, auch wenn sich die Gruppenrichtlinien-Objekte nicht geändert haben" auf Domänencontrollern. Gehen Sie hierzu nur vor, wenn namensbasierte Zuordnungen gemäß der Gruppenrichtlinie "Computer Configuration>Administrative Templates>System>KDC>:Zulassen namensbasierter starker Zuordnungen für Zertifikate" erforderlich sind. Weitere Informationen finden Sie unter Aktivieren einer starken namensbasierten Zuordnung in Regierungsszenarien.

Nächster Schritt

Wir untersuchen diese Meldungen und werden weitere Informationen bereitstellen, sobald sie verfügbar sind.

• Ermitteln Sie anhand des Kerberos-Betriebsprotokolls auf dem betreffenden Computer, bei welchem Domänencontroller die Anmeldung fehlschlägt. Zur Ereignisanzeige>wechselnAnwendungs- und Dienstprotokolle\Microsoft \Windows\Security-Kerberos\Operational.
• Suchen Sie im Systemereignisprotokoll auf dem Domänencontroller, bei dem sich das Konto zu authentifizieren versucht, nach relevanten Ereignissen.
• Wenn das Zertifikat älter als das Konto ist, stellen Sie das Zertifikat erneut aus, oder fügen Sie dem Konto eine sichere altSecurityIdentities-Zuordnung hinzu (siehe Zertifikatzuordnungen).
• Wenn das Zertifikat eine SID-Erweiterung enthält, stellen Sie sicher, dass die SID mit dem Konto übereinstimmt.
• Wenn das Zertifikat zur Authentifizierung mehrerer verschiedener Konten verwendet wird, benötigt jedes Konto eine eigene altSecurityIdentities-Zuordnung .
• Wenn das Zertifikat keine sichere Zuordnung zum Konto aufweist, fügen Sie eine hinzu, oder belassen Sie die Domäne im Kompatibilitätsmodus, bis eine hinzugefügt werden kann.

Ein Beispiel für die TLS-Zertifikatzuordnung ist die Verwendung einer IIS-Intranet-Webanwendung.

• Nach der Installation der Schutzmechanismen CVE-2022-26391 und CVE-2022-26923 wird für diese Szenarien standardmäßig das S4U-Protokoll (Kerberos Certificate Service For User) für die Zertifikatzuordnung und Authentifizierung verwendet.
• Beim Kerberos Certificate S4U-Protokoll fließt die Authentifizierungsanforderung vom Anwendungsserver zum Domänencontroller, nicht vom Client zum Domänencontroller. Daher befinden sich relevante Ereignisse auf dem Anwendungsserver.

Dieser Registrierungsschlüssel wird nach der Installation von Updates für Windows, die am oder nach September 2025 veröffentlicht wurden, nicht mehr unterstützt.

Wenn eine Serveranwendung eine Clientauthentifizierung erfordert, versucht Schannel automatisch, das Zertifikat, das der TLS-Client bereitstellt, einem Benutzerkonto zuzuordnen. Sie können Benutzer authentifizieren, die sich mit einem Clientzertifikat anmelden, indem Sie Zuordnungen erstellen, die die Zertifikatinformationen mit einem Windows-Benutzerkonto verknüpfen. Nachdem Sie eine Zertifikatzuordnung erstellt und aktiviert haben, ordnet Ihre Serveranwendung jedes Mal, wenn ein Client ein Clientzertifikat vorlegt, diesen Benutzer automatisch dem entsprechenden Windows-Benutzerkonto zu.

Schannel versucht, jede von Ihnen aktivierte Zertifikatzuordnungsmethode zuzuordnen, bis eine erfolgreich ist. Schannel versucht, zuerst die Service-For-User-To-Self-Zuordnungen (S4U2Self) zuzuordnen. Die Zertifikatzuordnungen von Antragsteller/Aussteller, Aussteller und UPN gelten jetzt als schwach und wurden standardmäßig deaktiviert. Die bitmaskierte Summe der ausgewählten Optionen bestimmt die Liste der verfügbaren Zertifikatzuordnungsmethoden.

Der SChannel-Registrierungsschlüssel wurde standardmäßig 0x1F und ist jetzt 0x18. Wenn Authentifizierungsfehler bei Schannel-basierten Serveranwendungen auftreten, empfehlen wir Ihnen, einen Test durchzuführen. Fügen Sie den Registrierungsschlüsselwert " CertificateMappingMethods " auf dem Domänencontroller hinzu, oder ändern Sie ihn, und legen Sie ihn auf 0x1F fest, um zu prüfen, ob das Problem damit behoben wird. Weitere Informationen finden Sie in den Systemereignisprotokollen auf dem Domänencontroller auf die in diesem Artikel aufgeführten Fehler. Beachten Sie, dass das Zurücksetzen des SChannel-Registrierungsschlüsselwerts auf den vorherigen Standardwert (0x1F) zu schwachen Zertifikatzuordnungsmethoden rückgängig machen.

Weitere Ressourcen und Support finden Sie im Abschnitt "Zusätzliche Ressourcen".

Nach der Installation von Updates für CVE-2022-26931 und CVE-2022-26923 kann die Authentifizierung in Fällen fehlschlagen, in denen die Benutzerzertifikate älter sind als der Erstellungszeitpunkt des Benutzers. Dieser Registrierungsschlüssel ermöglicht eine erfolgreiche Authentifizierung, wenn Sie in Ihrer Umgebung schwache Zertifikatzuordnungen verwenden und die Zertifikatzeit innerhalb eines festgelegten Bereichs vor dem Erstellungszeitpunkt des Benutzers liegt. Dieser Registrierungsschlüssel wirkt sich nicht auf Benutzer oder Computer mit starken Zertifikatzuordnungen aus, da die Zertifikatszeit und die Benutzererstellungszeit nicht mit starken Zertifikatzuordnungen überprüft werden. Dieser Registrierungsschlüssel hat keine Auswirkungen, wenn StrongCertificateBindingEnforcement auf 2 festgelegt ist.

Die Verwendung dieses Registrierungsschlüssels ist eine vorübergehende Problemumgehung für Umgebungen, die ihn erfordern und mit Vorsicht durchgeführt werden muss. Die Verwendung dieses Registrierungsschlüssels bedeutet Folgendes für Ihre Umgebung:

• Dieser Registrierungsschlüssel funktioniert ab dem 10. Mai 2022 nur im Kompatibilitätsmodus . Die Authentifizierung ist innerhalb des Rückdatierungskompensationsoffsets zulässig, es wird jedoch eine Ereignisprotokollwarnung für die schwache Bindung protokolliert.
• Die Aktivierung dieses Registrierungsschlüssels ermöglicht die Authentifizierung eines Benutzers, wenn die Zertifikatzeit vor dem Erstellungszeitpunkt des Benutzers innerhalb eines festgelegten Bereichs liegt. Schwache Zuordnungen werden nach der Installation von Updates für Windows, die am oder nach September 2025 veröffentlicht wurden, nicht mehr unterstützt.

Führen Sie den folgenden certutil-Befehl aus, um Zertifikate der Benutzervorlage vom Abrufen der neuen Erweiterung auszuschließen.

1. Melden Sie sich bei einem Zertifizierungsstellenserver oder einem in die Domäne eingebundenen Windows 10-Client mit Unternehmensadministrator oder den entsprechenden Anmeldeinformationen an.
2. Öffnen Sie eine Eingabeaufforderung, und wählen Sie "Als Administrator ausführen" aus.
3. Führen Sie certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000 aus.

Wenn Sie das Hinzufügen dieser Erweiterung deaktivieren, wird der von der neuen Erweiterung bereitgestellte Schutz aufgehoben. Sie sollten dies erst nach einem der folgenden Schritte tun:

1. Sie bestätigen, dass die entsprechenden Zertifikate für PKINIT (Public Key Cryptography for Initial Authentication) in Kerberos-Protokoll-Authentifizierungen am KDC nicht akzeptabel sind
2. Für die entsprechenden Zertifikate sind weitere starke Zertifikatzuordnungen konfiguriert

Umgebungen mit Nicht-Microsoft CA-Bereitstellungen sind nach der Installation des Windows-Updates vom 10. Mai 2022 nicht mit der neuen SID-Erweiterung geschützt. Betroffene Kunden sollten mit den entsprechenden Zertifizierungsstellenanbietern zusammenarbeiten, um dieses Problem zu beheben, oder andere oben beschriebene starke Zertifikatzuordnungen in Betracht ziehen.

Weitere Ressourcen und Support finden Sie im Abschnitt "Zusätzliche Ressourcen".

Nein, eine Verlängerung ist nicht erforderlich. Die Zertifizierungsstelle wird im Kompatibilitätsmodus ausgeliefert. Wenn Sie eine starke Zuordnung mithilfe der ObjectSID-Erweiterung wünschen, benötigen Sie ein neues Zertifikat.

Im Windows-Update vom 11. Februar 2025 werden Geräte, die sich noch nicht in der Erzwingung befinden (der Registrierungswert von StrongCertificateBindingEnforcement ist auf 2 festgelegt), in die Erzwingung verschoben. Wenn die Authentifizierung verweigert wird, wird die Ereignis-ID 39 (oder die Ereignis-ID 41 für Windows Server 2008 R2 SP1 und Windows Server 2008 SP2) angezeigt. Zu diesem Zeitpunkt haben Sie die Möglichkeit, den Registrierungsschlüsselwert auf 1 (Kompatibilitätsmodus) zurückzusetzen.

Im Windows-Update vom 9. September 2025 wird der Registrierungswert StrongCertificateBindingEnforcement nicht mehr unterstützt.