KB5020276 – Netjoin: Änderungen bei der Härtung des Domänenbeitritts

Zusammenfassung

Windows-Updates, die am und nach dem 11. Oktober 2022 veröffentlicht wurden, enthalten zusätzliche Schutzmaßnahmen, die von CVE-2022-38042 eingeführt wurden. Diese Schutzmaßnahmen verhindern absichtlich, dass Domänenbeitrittsvorgänge ein vorhandenes Computerkonto in der Zieldomäne wiederverwenden, es sei denn:

• Der Benutzer, der den Vorgang versucht, ist der Ersteller des vorhandenen Kontos.

  Oder

• Der Computer wurde von einem Mitglied der Domänenadministratoren erstellt.

  Oder

• Der Besitzer des Computerkontos, das wiederverwendet wird, ist Mitglied von "Domänencontroller: Wiederverwendung des Computerkontos während des Domänenbeitritts zulassen". Gruppenrichtlinie Einstellung. Diese Einstellung erfordert die Installation von Windows-Updates, die am oder nach dem 14. März 2023 auf ALLEN Mitgliedscomputern und Domänencontrollern veröffentlicht wurden.

Updates, die am und nach dem 14. März 2023 veröffentlicht wurden, bietet betroffenen Kunden unter Windows Server 2012 R2 und höher und allen unterstützten Clients zusätzliche Optionen. Weitere Informationen finden Sie in den Abschnitten Verhalten vom 11. Oktober 2022 und Ergreifen von Maßnahmen . 

Verhalten vor dem 11. Oktober 2022

Bevor Sie die kumulativen Updates vom 11. Oktober 2022 oder höher installieren, fragt der Clientcomputer Active Directory nach einem vorhandenen Konto mit demselben Namen ab. Diese Abfrage tritt während der Domänenbeitritts- und Computerkontobereitstellung auf. Wenn ein solches Konto vorhanden ist, versucht der Client automatisch, es wiederzuverwenden.

Hinweis Der Wiederverwendungsversuch schlägt fehl, wenn der Benutzer, der den Domänenbeitritt versucht, nicht über die entsprechenden Schreibberechtigungen verfügt. Wenn der Benutzer jedoch über ausreichende Berechtigungen verfügt, ist der Domänenbeitritt erfolgreich.

Es gibt zwei Szenarien für den Domänenbeitritt mit den entsprechenden Standardverhalten und -flags wie folgt:

• Domänenbeitritt (NetJoinDomain)

  • Standardmäßig wird die Kontowiederverwendung verwendet (es sei denn , NETSETUP_NO_ACCT_REUSE Flag angegeben ist)

• Kontobereitstellung (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Standardmäßig wird KEINE Wiederverwendung verwendet (es sei denn , NETSETUP_PROVISION_REUSE_ACCOUNT angegeben ist).)

Verhalten vom 11. Oktober 2022 

Nachdem Sie die kumulativen Windows-Updates vom 11. Oktober 2022 oder höher auf einem Clientcomputer installiert haben, führt der Client während des Domänenbeitritts zusätzliche Sicherheitsüberprüfungen durch, bevor versucht wird, ein vorhandenes Computerkonto wiederzuverwenden. Algorithmus:

1. Der Wiederverwendungsversuch für Konten ist zulässig, wenn der Benutzer, der den Vorgang versucht, der Ersteller des vorhandenen Kontos ist.

2. Der Wiederverwendungsversuch für Konten ist zulässig, wenn das Konto von einem Mitglied von Domänenadministratoren erstellt wurde.

Diese zusätzlichen Sicherheitsüberprüfungen werden durchgeführt, bevor versucht wird, dem Computer beizutreten. Wenn die Überprüfungen erfolgreich sind, unterliegt der Rest des Joinvorgangs wie zuvor Active Directory-Berechtigungen.

Diese Änderung wirkt sich nicht auf neue Konten aus.

Hinweis Nach der Installation der kumulativen Windows-Updates vom 11. Oktober 2022 oder höher schlägt der Domänenbeitritt mit der Wiederverwendung von Computerkonten möglicherweise absichtlich mit dem folgenden Fehler fehl:

Fehler 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "In Active Directory ist ein Konto mit demselben Namen vorhanden. Die erneute Verwendung des Kontos wurde durch die Sicherheitsrichtlinie blockiert."

Wenn ja, wird das Konto absichtlich durch das neue Verhalten geschützt.

Die Ereignis-ID 4101 wird ausgelöst, sobald der obige Fehler auftritt, und das Problem wird in c:\windows\debug\netsetup.log protokolliert. Führen Sie die folgenden Schritte unter Ergreifen von Maßnahmen aus, um den Fehler zu verstehen und das Problem zu beheben.

Verhalten vom 14. März 2023

In den Windows-Updates, die am oder nach dem 14. März 2023 veröffentlicht wurden, haben wir einige Änderungen an der Sicherheitshärtung vorgenommen. Diese Änderungen umfassen alle Änderungen, die wir am 11. Oktober 2022 vorgenommen haben.

Zunächst haben wir den Bereich der Gruppen erweitert, die von dieser Härtung ausgenommen sind. Neben Domänenadministratoren sind jetzt auch Unternehmensadministratoren und integrierte Administratorengruppen von der Besitzprüfung ausgenommen.

Zweitens haben wir eine neue Gruppenrichtlinie-Einstellung implementiert. Administratoren können damit eine Zulassungsliste von Besitzern vertrauenswürdiger Computerkonten angeben. Das Computerkonto umgeht die Sicherheitsüberprüfung, wenn eine der folgenden Aussagen zutrifft:

• Das Konto gehört einem Benutzer, der im Gruppenrichtlinie "Domänencontroller: Wiederverwendung des Computerkontos während des Domänenbeitritts zulassen" als vertrauenswürdiger Besitzer angegeben ist.

• Das Konto gehört einem Benutzer, der Mitglied einer Gruppe ist, die im Gruppenrichtlinie "Domänencontroller: Wiederverwendung des Computerkontos während des Domänenbeitritts zulassen" als vertrauenswürdiger Besitzer angegeben ist.

Um diese neue Gruppenrichtlinie verwenden zu können, muss auf dem Domänencontroller und dem Mitgliedscomputer das Update vom 14. März 2023 oder höher konsistent installiert sein. Einige von Ihnen verfügen möglicherweise über bestimmte Konten, die Sie bei der automatisierten Computerkontoerstellung verwenden. Wenn diese Konten vor Missbrauch sicher sind und Sie ihnen vertrauen, Computerkonten zu erstellen, können Sie sie ausschließen. Sie sind weiterhin vor der ursprünglichen Sicherheitsanfälligkeit geschützt, die durch die Windows-Updates vom 11. Oktober 2022 behoben wurde.

^{[10. August 2023 – Start]}

Wir planen auch, die ursprüngliche NetJoinLegacyAccountReuse-Registrierungseinstellung in einem zukünftigen Windows-Update zu entfernen. Diese Entfernung ist vorläufig für das Update vom 13. Februar 2024 geplant. Veröffentlichungsdaten können sich ändern. ^{[Ende – 10. August 2023]}

Hinweis Wenn Sie den Schlüssel NetJoinLegacyAccountReuse auf Ihren Clients bereitgestellt und auf den Wert 1 festgelegt haben, müssen Sie diesen Schlüssel jetzt entfernen (oder auf 0 festlegen), um von den neuesten Änderungen zu profitieren. 

Handeln Sie

Konfigurieren Sie die neue Zulassungslistenrichtlinie mithilfe der Gruppenrichtlinie auf einem Domänencontroller. Entfernen Sie alle clientseitigen Legacyumgehungen so bald wie möglich vor September 2023. Gehen Sie dann wie folgt vor:

1. Sie müssen die Updates vom 14. März 2023 auf allen Mitgliedscomputern und Domänencontrollern installieren. 

2. Konfigurieren Sie in einer neuen oder vorhandenen Gruppenrichtlinie, die für alle Domänencontroller gilt, die Einstellungen in den folgenden Schritten.

3. Doppelklicken Sie unter Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen auf Domänencontroller: Wiederverwendung des Computerkontos während des Domänenbeitritts zulassen.

4. Wählen Sie Diese Richtlinieneinstellung definieren und <Sicherheit bearbeiten...>aus.

5. Verwenden Sie die Objektauswahl, um Benutzer oder Gruppen von Erstellern und Besitzern vertrauenswürdiger Computerkonten zur Berechtigung Zulassen hinzuzufügen. (Als bewährte Methode wird dringend empfohlen, Gruppen für Berechtigungen zu verwenden.) Fügen Sie nicht das Benutzerkonto hinzu, das den Domänenbeitritt durchführt.

   Warnung: Beschränken Sie die Mitgliedschaft auf die Richtlinie auf vertrauenswürdige Benutzer und Dienstkonten. Fügen Sie dieser Richtlinie keine authentifizierten Benutzer, alle benutzer oder andere große Gruppen hinzu. Fügen Sie stattdessen bestimmte vertrauenswürdige Benutzer und Dienstkonten zu Gruppen hinzu, und fügen Sie diese Gruppen der Richtlinie hinzu.

6. Warten Sie auf das Gruppenrichtlinie Aktualisierungsintervall, oder führen Sie gpupdate /force auf allen Domänencontrollern aus.

7. Vergewissern Sie sich, dass der Registrierungsschlüssel HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" mit der gewünschten SDDL aufgefüllt ist. Bearbeiten Sie die Registrierung nicht manuell.

8. Versuchen Sie, einen Computer mit dem Update vom 14. März 2023 oder höher zu verbinden. Stellen Sie sicher, dass eines der in der Richtlinie aufgeführten Konten das Computerkonto besitzt. Stellen Sie außerdem sicher, dass für die Registrierung nicht der Schlüssel NetJoinLegacyAccountReuse aktiviert ist (auf 1 festgelegt). Wenn der Domänenbeitritt fehlschlägt, überprüfen Sie die c:\windows\debug-\netsetup.log.

Wenn Sie weiterhin eine alternative Problemumgehung benötigen, überprüfen Sie die Workflows zur Bereitstellung von Computerkonten, und ermitteln Sie, ob Änderungen erforderlich sind. 

1. Führen Sie den Joinvorgang mit demselben Konto aus, das das Computerkonto in der Zieldomäne erstellt hat.

2. Wenn das vorhandene Konto veraltet (nicht verwendet) ist, löschen Sie es, bevor Sie versuchen, der Domäne erneut beizutreten.

3. Benennen Sie den Computer um, und schließen Sie sich mit einem anderen Konto an, das noch nicht vorhanden ist.

4. Wenn sich das vorhandene Konto im Besitz eines vertrauenswürdigen Sicherheitsprinzipals befindet und ein Administrator das Konto wiederverwenden möchte, befolgen Sie die Anweisungen im Abschnitt Aktion ausführen, um das Windows-Update vom März 2023 zu installieren und eine Zulassungsliste zu konfigurieren.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac