Kerberos- ja NTLM-todennusvirheet, jotka johtuvat kaksoiskappaleista SID-tunnuksista

Ongelman ilmenemistapa 

Kerberos- ja New Technology LAN Manager (NTLM) -todennusvirheitä voi ilmetä kaikissa laitteissa, joissa on päällekkäisiä suojaustunnuksia.) Tämä ongelma voi ilmetä Windows 11, versiossa 24H2, Windows 11, versiossa 25H2 ja Windows Server 2025, kun Windows-päivitykset on asennettu: 

• 29. elokuuta 2025 – KB5064081 (käyttöjärjestelmän koontiversio 26100.5074) Preview

• 9. syyskuuta 2025 – KB5065426 (käyttöjärjestelmän koontiversio 26100.6584)

Nämä todennusvirheet voivat ilmetä erilaisina oireina, kuten: 

• Käyttäjiä pyydetään toistuvasti antamaan tunnistetiedot.

• Käyttöoikeuspyynnöt, joilla on kelvolliset tunnistetiedot, epäonnistuvat näytössä ilmennysten vuoksi, kuten:

  • Kirjautumisyritys epäonnistui.

  • Kirjautuminen epäonnistui/tunnistetietosi eivät toimineet.

  • Koneen tunnuksella on osittainen ristiriita.

  • Käyttäjänimi tai salasana on virheellinen.

• Jaettuja verkkokansioita ei voi käyttää IP-osoitteella tai isäntänimellä.

• Etätyöpöytäyhteyksiä ei voi muodostaa, mukaan lukien RDP (Remote Desktop Protocol) -istunnot, jotka on aloitettu PAM (Privileged Access Management) -ratkaisuilla tai kolmannen osapuolen työkaluilla.

• Vikasietoklusteri epäonnistuu käyttö estetty -virheellä.

• Tapahtumienvalvonta saattaa näyttää jonkin seuraavista virheistä Windowsin lokeissa:

  • Suojausloki sisältää SEC_E_NO_CREDENTIALS virheen.

  • Järjestelmäloki sisältää Local Security Authority Server Service (lsasrv.dll) -tapahtumatunnuksen: 6167, jossa on viestin teksti:

    Koneen tunnuksella on osittainen ristiriita. Tämä tarkoittaa, että lippua on joko käsitelty tai se kuuluu toiseen käynnistysistuntoon.

Syy

Windows-päivitykset, jotka on julkaistu 29. elokuuta 2025 ja sen jälkeen, sisältävät lisäsuojauksia, jotka valvovat SID-tunnistusten tarkistusta ja aiheuttavat todennuksen epäonnistumisen, kun laitteissa on päällekkäisiä SID-tunnuksia. Tämä rakennemuutos estää todentamisen kättelyt tällaisten laitteiden välillä. Näihin suojaussuojauksiin liittyvät epäonnistuneet todennuspyynnöt tunnistaa paikallinen suojauspalvelun (lsasrv.dll) tapahtumatunnus 6167 Järjestelmän tapahtumalokissa. 

Kaksoiskappaleita voidaan luoda suoritettaessa Windows-asennuksen kloonausta tai monistamista ilman Sysprep-toimintoa. Sysprepin SID-yksilöllisyyttä tarvitaan käyttöjärjestelmän monistamiseen Windows 11, versioissa 24H2 ja 25H2 ja Windows Server 2025 Windows-päivitysten asentamisen jälkeen 29. elokuuta 2025 ja sen jälkeen. 

Lisätietoja on ohjeaiheessa Windows-asennusten levyn monistamista koskeva Microsoftin käytäntö. 

Ratkaisu

Jos haluat pysyvän tarkkuuden, päällekkäisiä SID-tunnuksia sisältävät laitteet on luotava uudelleen käyttämällä tuettuja menetelmiä Windows-asennuksen kloonaamiseen tai monistamiseen , jotta niillä on yksilölliset SID-tunnukset. 

IT-järjestelmänvalvojat voivat tilapäisesti korjata tämän ongelman asentamalla ja määrittämällä erityisen ryhmäkäytäntö. Jos haluat hankkia tämän erityisen ryhmäkäytäntö, ota yhteyttä Microsoftin yritystukeen.