KB5020276—Netjoin: Αλλαγές στη θωργική σύνδεση τομέα

Σύνοψη

Οι ενημερώσεις των Windows που κυκλοφόρησαν στις και μετά τις 11 Οκτωβρίου 2022 περιέχουν πρόσθετα μέτρα προστασίας που εισήγαγε το CVE-2022-38042. Αυτά τα μέτρα προστασίας εμποδίζουν σκόπιμα τις λειτουργίες συμμετοχής σε τομέα από την επαναχρηση ενός υπάρχοντος λογαριασμού υπολογιστή στον τομέα προορισμού, εκτός εάν:

• Ο χρήστης που επιχειρεί τη λειτουργία είναι ο δημιουργός του υπάρχοντος λογαριασμού.

  Ή

• Ο υπολογιστής δημιουργήθηκε από ένα μέλος των διαχειριστών τομέα.

  Ή

• Ο κάτοχος του λογαριασμού υπολογιστή που επαναχρησιμοποιείται είναι μέλος του "Ελεγκτής τομέα: Να επιτρέπεται η επανάληψη χρήσης του λογαριασμού υπολογιστή κατά τη συμμετοχή σε τομέα". Πολιτική ομάδας ρύθμιση. Αυτή η ρύθμιση απαιτεί την εγκατάσταση των ενημερώσεων των Windows που κυκλοφόρησαν στις ή μετά τις 14 Μαρτίου 2023 σε ΟΛΟΥΣ τους υπολογιστές-μέλη και τους ελεγκτές τομέα.

Ενημερώσεις που θα κυκλοφορήσει στις και μετά τις 14 Μαρτίου 2023 και στις 12 Σεπτεμβρίου 2023, θα παρέχει πρόσθετες επιλογές για τους πελάτες που επηρεάζονται στον Windows Server 2012 R2 και νεότερη έκδοση, καθώς και για όλα τα υποστηριζόμενα προγράμματα-πελάτες. Για περισσότερες πληροφορίες, ανατρέξτε στις ενότητες Συμπεριφορά 11 Οκτωβρίου 2022 και Ανάληψη δράσης . 

Συμπεριφορά πριν από τις 11 Οκτωβρίου 2022

Πριν από την εγκατάσταση των ενημερώσεων της 11ης Οκτωβρίου 2022 ή μεταγενέστερων αθροιστικών ενημερώσεων, ο υπολογιστής-πελάτης ερωτά την υπηρεσία καταλόγου Active Directory για έναν υπάρχοντα λογαριασμό με το ίδιο όνομα. Αυτό το ερώτημα παρουσιάζεται κατά τη σύνδεση σε τομέα και την παροχή λογαριασμού υπολογιστή. Εάν υπάρχει τέτοιος λογαριασμός, ο πελάτης θα επιχειρήσει αυτόματα να τον χρησιμοποιήσει ξανά.

Σημείωση Η προσπάθεια επαναχρησιμοποίησης θα αποτύχει εάν ο χρήστης που επιχειρεί τη λειτουργία συμμετοχής σε τομέα δεν έχει τα κατάλληλα δικαιώματα εγγραφής. Ωστόσο, εάν ο χρήστης έχει αρκετά δικαιώματα, ο σύνδεσμος τομέα θα είναι επιτυχής.

Υπάρχουν δύο σενάρια για τη συμμετοχή σε τομέα με τις αντίστοιχες προεπιλεγμένες συμπεριφορές και σημαίες ως εξής:

• Συμμετοχή σε τομέα (NetJoinDomain)

  • Προεπιλογές επαναχρησιμοποίησης λογαριασμού (εκτός εάν έχει καθοριστεί NETSETUP_NO_ACCT_REUSE σημαία)

• Παροχή λογαριασμού (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Προεπιλογές σε NO επαναχρησιμοποίηση (εκτός εάν έχει καθοριστεί NETSETUP_PROVISION_REUSE_ACCOUNT .)

Συμπεριφορά της 11ης Οκτωβρίου 2022 

Αφού εγκαταστήσετε τις αθροιστικές ενημερώσεις της 11ης Οκτωβρίου 2022 ή μεταγενέστερες αθροιστικές ενημερώσεις των Windows σε έναν υπολογιστή-πελάτη, κατά τη συμμετοχή σε τομέα, ο υπολογιστής-πελάτης θα εκτελέσει πρόσθετους ελέγχους ασφαλείας πριν προσπαθήσει να χρησιμοποιήσει ξανά έναν υπάρχοντα λογαριασμό υπολογιστή. Αλγόριθμο:

1. Η προσπάθεια επαναχρησιμοποίησης λογαριασμού θα επιτρέπεται εάν ο χρήστης που επιχειρεί τη λειτουργία είναι ο δημιουργός του υπάρχοντος λογαριασμού.

2. Η προσπάθεια επαναχρησιμοποίησης λογαριασμού θα επιτρέπεται εάν ο λογαριασμός δημιουργήθηκε από ένα μέλος των διαχειριστών τομέα.

Αυτοί οι πρόσθετοι έλεγχοι ασφαλείας γίνονται πριν επιχειρήσετε να συνδεθείτε στον υπολογιστή. Εάν οι έλεγχοι είναι επιτυχείς, η υπόλοιπη λειτουργία σύνδεσης υπόκειται σε δικαιώματα υπηρεσίας καταλόγου Active Directory όπως πριν.

Αυτή η αλλαγή δεν επηρεάζει τους νέους λογαριασμούς.

Σημείωση Μετά την εγκατάσταση των αθροιστικών ενημερώσεων της 11ης Οκτωβρίου 2022 ή μεταγενέστερων αθροιστικών ενημερώσεων των Windows, η συμμετοχή σε τομέα με επαναχρησιμοποίηση λογαριασμού υπολογιστή ενδέχεται να αποτύχει σκόπιμα με το ακόλουθο σφάλμα:

Σφάλμα 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Υπάρχει ένας λογαριασμός με το ίδιο όνομα στην υπηρεσία καταλόγου Active Directory. Η εκ νέου χρήση του λογαριασμού αποκλείστηκε από την πολιτική ασφαλείας".

Σε αυτή την περίπτωση, ο λογαριασμός προστατεύεται σκόπιμα από τη νέα συμπεριφορά.

Το αναγνωριστικό συμβάντος 4101 θα ενεργοποιηθεί μόλις παρουσιαστεί το παραπάνω σφάλμα και το πρόβλημα θα καταγραφεί στο c:\windows\debug\netsetup.log. Ακολουθήστε τα παρακάτω βήματα στην ενότητα Ανάληψη ενέργειας για να κατανοήσετε την αποτυχία και να επιλύσετε το πρόβλημα.

Συμπεριφορά της 14ης Μαρτίου 2023

Στις ενημερώσεις των Windows που κυκλοφόρησαν στις ή μετά τις 14 Μαρτίου 2023, κάναμε μερικές αλλαγές στη θωρισμική προστασία της ασφάλειας. Αυτές οι αλλαγές περιλαμβάνουν όλες τις αλλαγές που κάναμε στις 11 Οκτωβρίου 2022.

Πρώτον, διευρύναμε το πεδίο εφαρμογής των ομάδων που εξαιρούνται από αυτή τη σκλήρυνση. Εκτός από τους διαχειριστές τομέων, οι ομάδες Εταιρικών διαχειριστών και Ενσωματωμένων διαχειριστών εξαιρούνται πλέον από τον έλεγχο κυριότητας.

Δεύτερον, εφαρμόσαμε μια νέα ρύθμιση Πολιτική ομάδας. Οι διαχειριστές μπορούν να τη χρησιμοποιήσουν για να καθορίσουν μια λίστα αποδοχής των κατόχων αξιόπιστων λογαριασμών υπολογιστή. Ο λογαριασμός υπολογιστή θα παρακάμψει τον έλεγχο ασφαλείας, εάν ισχύει ένα από τα εξής:

• Ο λογαριασμός ανήκει σε ένα χρήστη που καθορίζεται ως αξιόπιστος κάτοχος στον Πολιτική ομάδας "Ελεγκτής τομέα: Να επιτρέπεται η επαναχρησιμοποίηση του λογαριασμού υπολογιστή κατά τη συμμετοχή σε τομέα".

• Ο λογαριασμός ανήκει σε ένα χρήστη ο οποίος είναι μέλος μιας ομάδας που καθορίζεται ως αξιόπιστος κάτοχος στον Πολιτική ομάδας "Ελεγκτής τομέα: Να επιτρέπεται η επαναχρησιμοποίηση του λογαριασμού υπολογιστή κατά τη συμμετοχή σε τομέα".

Για να χρησιμοποιήσετε αυτήν τη νέα Πολιτική ομάδας, ο ελεγκτής τομέα και ο υπολογιστής-μέλος πρέπει να έχουν με συνέπεια εγκατεστημένη την ενημέρωση της 14ης Μαρτίου 2023 ή νεότερης έκδοσης. Ορισμένοι από εσάς μπορεί να έχετε συγκεκριμένους λογαριασμούς που χρησιμοποιείτε στην αυτόματη δημιουργία λογαριασμού υπολογιστή. Εάν αυτοί οι λογαριασμοί είναι ασφαλείς από κατάχρηση και τους εμπιστεύεστε να δημιουργήσουν λογαριασμούς υπολογιστή, μπορείτε να τους εξαιρέσετε. Θα εξακολουθήσετε να είστε ασφαλείς έναντι της αρχικής ευπάθειας που μετριάζεται από τις ενημερώσεις των Windows στις 11 Οκτωβρίου 2022.

^{Συμπεριφορά της 12ης Σεπτεμβρίου 2023}

Στις ενημερώσεις των Windows που κυκλοφόρησαν στις ή μετά τις 12 Σεπτεμβρίου 2023, κάναμε μερικές πρόσθετες αλλαγές στη θωρηματική λειτουργία της ασφάλειας. Αυτές οι αλλαγές περιλαμβάνουν όλες τις αλλαγές που κάναμε στις 11 Οκτωβρίου 2022 και τις αλλαγές από τις 14 Μαρτίου 2023.

Επιδιορθώθηκε ένα πρόβλημα κατά το οποίο η συμμετοχή σε τομέα με χρήση ελέγχου ταυτότητας έξυπνης κάρτας απέτυχε ανεξάρτητα από τη ρύθμιση πολιτικής. Για να διορθώσουμε αυτό το πρόβλημα, μετακινήσαμε τους υπόλοιπους ελέγχους ασφαλείας πίσω στον ελεγκτή τομέα. Επομένως, μετά την ενημέρωση ασφαλείας του Σεπτεμβρίου 2023, οι υπολογιστές-πελάτες πραγματοποιούν κλήσεις SAMRPC με έλεγχο ταυτότητας στον ελεγκτή τομέα για την εκτέλεση ελέγχων επικύρωσης ασφαλείας που σχετίζονται με την επαναχρησιοποίηση λογαριασμών υπολογιστή.

Ωστόσο, αυτό μπορεί να προκαλέσει αποτυχία συμμετοχής σε τομέα σε περιβάλλοντα όπου έχει οριστεί η ακόλουθη πολιτική: Πρόσβαση στο δίκτυο: Περιορισμός πελατών που επιτρέπεται να πραγματοποιούν απομακρυσμένες κλήσεις στη SAM.  Ανατρέξτε στην ενότητα "Γνωστά ζητήματα" για πληροφορίες σχετικά με τον τρόπο επίλυσης αυτού του προβλήματος.

Σχεδιάζουμε επίσης να καταργήσουμε την αρχική ρύθμιση μητρώου NetJoinLegacyAccountReuse σε μια μελλοντική ενημέρωση των Windows. [Ιανουάριος 2024 - Έναρξη]Αυτή η κατάργηση έχει προγραμματιστεί με αβεβαιότητα για την ενημέρωση της 13ης Αυγούστου 2024. Οι ημερομηνίες κυκλοφορίας υπόκεινται σε αλλαγή. [Τέλος - Ιανουάριος 2024]

Σημείωση Εάν αναπτύξατε το κλειδί NetJoinLegacyAccountReuse στους υπολογιστές-πελάτες σας και το έχετε ορίσει στην τιμή 1, πρέπει τώρα να καταργήσετε αυτό το κλειδί (ή να το ορίσετε σε 0) για να επωφεληθείτε από τις πιο πρόσφατες αλλαγές. 

Ανάληψη δράσης

Ρυθμίστε τις παραμέτρους της νέας πολιτικής λίστας αποδοχής χρησιμοποιώντας το Πολιτική ομάδας σε έναν ελεγκτή τομέα και καταργήστε τυχόν λύσεις από την πλευρά του προγράμματος-πελάτη παλαιού τύπου. Στη συνέχεια, κάντε τα εξής:

1. Πρέπει να εγκαταστήσετε τις ενημερώσεις της 12ης Σεπτεμβρίου 2023 ή μεταγενέστερες ενημερώσεις σε όλους τους υπολογιστές-μέλη και τους ελεγκτές τομέα. 

2. Σε μια νέα ή υπάρχουσα πολιτική ομάδας που ισχύει για όλους τους ελεγκτές τομέα, ρυθμίστε τις παραμέτρους στις παρακάτω ρυθμίσεις.

3. Στην περιοχή Ρυθμίσεις υπολογιστή\Πολιτικές\Ρυθμίσεις των Windows\Ρυθμίσεις ασφαλείας\Τοπικές πολιτικές\Επιλογές ασφαλείας, κάντε διπλό κλικ στην επιλογή Ελεγκτής τομέα: Να επιτρέπεται η επαναχρησιμοποίηση του λογαριασμού υπολογιστή κατά τη συμμετοχή σε τομέα.

4. Επιλέξτε Ορισμός αυτής της ρύθμισης πολιτικής και <Επεξεργασία ασφάλειας...>.

5. Χρησιμοποιήστε τον επιλογέα αντικειμένων για να προσθέσετε χρήστες ή ομάδες αξιόπιστων δημιουργών και κατόχων λογαριασμών υπολογιστή στο δικαίωμα Αποδοχή . (Ως βέλτιστη πρακτική, συνιστάται ιδιαίτερα να χρησιμοποιείτε ομάδες για δικαιώματα.) Μην προσθέσετε το λογαριασμό χρήστη που εκτελεί τη συμμετοχή σε τομέα.

   Προειδοποίηση: Περιορίστε την ιδιότητα μέλους στην πολιτική σε αξιόπιστους χρήστες και λογαριασμούς υπηρεσιών. Μην προσθέτετε χρήστες με έλεγχο ταυτότητας, όλους ή άλλες μεγάλες ομάδες σε αυτήν την πολιτική. Αντί για αυτό, προσθέστε συγκεκριμένους αξιόπιστους χρήστες και λογαριασμούς υπηρεσίας σε ομάδες και προσθέστε αυτές τις ομάδες στην πολιτική.

6. Περιμένετε το χρονικό διάστημα ανανέωσης Πολιτική ομάδας ή εκτελέστε gpupdate /force σε όλους τους ελεγκτές τομέα.

7. Βεβαιωθείτε ότι το κλειδί μητρώου HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" συμπληρώνεται με το SDDL που θέλετε. Μην επεξεργαστείτε το μητρώο με μη αυτόματο τρόπο.

8. Προσπαθήστε να συνδέσετε έναν υπολογιστή που έχει εγκατεστημένες τις ενημερώσεις της 12ης Σεπτεμβρίου 2023 ή νεότερες. Βεβαιωθείτε ότι ο λογαριασμός υπολογιστή ανήκει σε έναν από τους λογαριασμούς που παρατίθενται στην πολιτική. Επίσης, βεβαιωθείτε ότι στο μητρώο του δεν είναι ενεργοποιημένο το κλειδί NetJoinLegacyAccountReuse (ορίζεται σε 1). Εάν αποτύχει η συμμετοχή σε τομέα, ελέγξτε το c:\windows\debug\netsetup.log.

Εάν εξακολουθείτε να χρειάζεστε μια εναλλακτική λύση, εξετάστε τις ροές εργασιών παροχής λογαριασμού υπολογιστή και κατανοήστε εάν απαιτούνται αλλαγές. 

1. Εκτελέστε τη λειτουργία σύνδεσης χρησιμοποιώντας τον ίδιο λογαριασμό που δημιούργησε το λογαριασμό υπολογιστή στον τομέα προορισμού.

2. Εάν ο υπάρχων λογαριασμός είναι μη ενημερωμένος (δεν χρησιμοποιείται), διαγράψτε τον προτού προσπαθήσετε να συμμετάσχετε ξανά στον τομέα.

3. Μετονομάστε τον υπολογιστή και συνδεθείτε χρησιμοποιώντας διαφορετικό λογαριασμό που δεν υπάρχει ήδη.

4. Αν ο υπάρχων λογαριασμός ανήκει σε μια αξιόπιστη αρχή ασφαλείας και ο διαχειριστής θέλει να χρησιμοποιήσει ξανά τον λογαριασμό, ακολουθήστε τις οδηγίες στην ενότητα Ανάληψη ενέργειας για να εγκαταστήσετε τις ενημερώσεις του Σεπτεμβρίου 2023 ή μεταγενέστερων ενημερώσεων των Windows και να ρυθμίσετε τις παραμέτρους μιας λίστας αποδοχής.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Γνωστά προβλήματα

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac