KB5020276 — Netjoin : modifications du renforcement de la jonction de domaine

Résumé

Les mises à jour Windows publiées à partir du 11 octobre 2022 contiennent des protections supplémentaires introduites par CVE-2022-38042. Ces protections empêchent intentionnellement les opérations de jointure de domaine de réutiliser un compte d’ordinateur existant dans le domaine cible, sauf si :

• L’utilisateur qui tente l’opération est le créateur du compte existant.

  Ou

• L’ordinateur a été créé par un membre des administrateurs de domaine.

  Ou

• Le propriétaire du compte d’ordinateur réutilisé est membre du « Contrôleur de domaine : Autoriser la réutilisation du compte d’ordinateur lors de la jonction de domaine ». stratégie de groupe paramètre. Ce paramètre nécessite l’installation des mises à jour Windows publiées à partir du 14 mars 2023 sur TOUS les ordinateurs membres et contrôleurs de domaine.

Mises à jour publiées entre le 14 mars 2023 et le 12 septembre 2023, fourniront des options supplémentaires pour les clients concernés sur Windows Server 2012 R2 et versions ultérieures et tous les clients pris en charge. Pour plus d’informations, consultez les sections Comportement du 11 octobre 2022 et Agir . 

Comportement avant le 11 octobre 2022

Avant d’installer les mises à jour cumulatives du 11 octobre 2022 ou ultérieures, l’ordinateur client interroge Active Directory pour obtenir un compte existant portant le même nom. Cette requête se produit lors de la jonction de domaine et de l’approvisionnement de compte d’ordinateur. S’il existe un tel compte, le client tente automatiquement de le réutiliser.

RemarqueLa tentative de réutilisation échoue si l’utilisateur qui tente l’opération de jointure de domaine ne dispose pas des autorisations d’écriture appropriées. Toutefois, si l’utilisateur dispose d’autorisations suffisantes, la jonction de domaine réussit.

Il existe deux scénarios pour la jointure de domaine avec des comportements et des indicateurs par défaut respectifs comme suit :

• Jonction de domaine (NetJoinDomain)

  • Réutilisation du compte par défaut (sauf si NETSETUP_NO_ACCT_REUSE indicateur est spécifié)

• Provisionnement de compte (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • La valeur par défaut est AUCUNE réutilisation (sauf si NETSETUP_PROVISION_REUSE_ACCOUNT est spécifié.)

Comportement du 11 octobre 2022 

Une fois que vous avez installé les mises à jour cumulatives Windows du 11 octobre 2022 ou ultérieures sur un ordinateur client, pendant la jonction de domaine, le client effectue des vérifications de sécurité supplémentaires avant de tenter de réutiliser un compte d’ordinateur existant. Algorithme:

1. La tentative de réutilisation du compte est autorisée si l’utilisateur qui tente l’opération est le créateur du compte existant.

2. La tentative de réutilisation du compte est autorisée si le compte a été créé par un membre des administrateurs de domaine.

Ces vérifications de sécurité supplémentaires sont effectuées avant de tenter de joindre l’ordinateur. Si les vérifications réussissent, le reste de l’opération de jointure est soumis aux autorisations Active Directory comme précédemment.

Cette modification n’affecte pas les nouveaux comptes.

Remarque Après avoir installé les mises à jour cumulatives Windows du 11 octobre 2022 ou ultérieures, la jonction de domaine avec la réutilisation du compte d’ordinateur peut échouer intentionnellement avec l’erreur suivante :

Erreur 0xaac (2732) : NERR_AccountReuseBlockedByPolicy : « Un compte portant le même nom existe dans Active Directory. La réutilisation du compte a été bloquée par la stratégie de sécurité. »

Si c’est le cas, le compte est intentionnellement protégé par le nouveau comportement.

L’ID d’événement 4101 est déclenché une fois que l’erreur ci-dessus se produit et que le problème est enregistré dans c :\windows\debug\netsetup.log. Suivez les étapes ci-dessous dans Prendre des mesures pour comprendre l’échec et résoudre le problème.

Comportement du 14 mars 2023

Dans les mises à jour Windows publiées le ou après le 14 mars 2023, nous avons apporté quelques modifications au renforcement de la sécurité. Ces modifications incluent toutes les modifications que nous avons apportées au 11 octobre 2022.

Tout d’abord, nous avons étendu la portée des groupes qui sont exemptés de ce renforcement. En plus des administrateurs de domaine, les groupes Administrateurs d’entreprise et Administrateurs intégrés sont désormais exemptés de la propriété case activée.

Deuxièmement, nous avons implémenté un nouveau paramètre stratégie de groupe. Les administrateurs peuvent l’utiliser pour spécifier une liste verte de propriétaires de comptes d’ordinateur approuvés. Le compte d’ordinateur contourne le case activée de sécurité si l’une des conditions suivantes est vraie :

• Le compte appartient à un utilisateur spécifié en tant que propriétaire approuvé dans le stratégie de groupe « Contrôleur de domaine : Autoriser la réutilisation du compte d’ordinateur lors de la jonction de domaine ».

• Le compte appartient à un utilisateur membre d’un groupe spécifié en tant que propriétaire approuvé dans le stratégie de groupe « Contrôleur de domaine : autoriser la réutilisation du compte d’ordinateur lors de la jonction de domaine ».

Pour utiliser cette nouvelle stratégie de groupe, la mise à jour du 14 mars 2023 ou ultérieure doit être installée de manière cohérente sur le contrôleur de domaine et l’ordinateur membre. Certains d’entre vous peuvent avoir des comptes particuliers que vous utilisez dans la création automatisée de comptes d’ordinateur. Si ces comptes sont protégés contre les abus et que vous leur faites confiance pour créer des comptes d’ordinateur, vous pouvez les exempter. Vous serez toujours en sécurité contre la vulnérabilité d’origine atténuée par les mises à jour Windows du 11 octobre 2022.

^{Comportement du 12 septembre 2023}

Dans les mises à jour Windows publiées le ou après le 12 septembre 2023, nous avons apporté quelques modifications supplémentaires au renforcement de la sécurité. Ces modifications incluent toutes les modifications que nous avons apportées au 11 octobre 2022 et celles du 14 mars 2023.

Nous avons résolu un problème où la jonction de domaine à l’aide de l’authentification smart carte a échoué, quel que soit le paramètre de stratégie. Pour résoudre ce problème, nous avons déplacé les vérifications de sécurité restantes vers le contrôleur de domaine. Par conséquent, à la suite de la mise à jour de sécurité de septembre 2023, les ordinateurs clients effectuent des appels SAMRPC authentifiés au contrôleur de domaine pour effectuer des vérifications de validation de sécurité liées à la réutilisation des comptes d’ordinateur.

Toutefois, cela peut entraîner l’échec de la jonction de domaine dans les environnements où la stratégie suivante est définie : Accès réseau : Restreindre les clients autorisés à effectuer des appels distants à SAM.  Pour plus d’informations sur la résolution de ce problème, consultez la section « Problèmes connus ».

Nous prévoyons également de supprimer le paramètre de Registre NetJoinLegacyAccountReuse d’origine dans une prochaine mise à jour Windows. [Janvier 2024 - Début]Cette suppression est provisoirement prévue pour la mise à jour du 13 août 2024. Les dates de publication sont susceptibles d’être modifiées. [Fin - janvier 2024]

RemarqueSi vous avez déployé la clé NetJoinLegacyAccountReuse sur vos clients et que vous la définissez sur la valeur 1, vous devez maintenant supprimer cette clé (ou la définir sur 0) pour tirer parti des dernières modifications. 

Procédure à suivre

Configurez la nouvelle stratégie de liste verte à l’aide de la stratégie de groupe sur un contrôleur de domaine et supprimez toutes les solutions de contournement côté client héritées. Ensuite, procédez comme suit :

1. Vous devez installer les mises à jour du 12 septembre 2023 ou ultérieures sur tous les ordinateurs membres et contrôleurs de domaine. 

2. Dans une stratégie de groupe nouvelle ou existante qui s’applique à tous les contrôleurs de domaine, configurez les paramètres dans les étapes ci-dessous.

3. Sous Configuration ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Stratégies locales\Options de sécurité, double-cliquez sur Contrôleur de domaine : Autoriser la réutilisation du compte d’ordinateur lors de la jonction de domaine.

4. Sélectionnez Définir ce paramètre de stratégie et <Modifier la sécurité...>.

5. Utilisez le sélecteur d’objets pour ajouter des utilisateurs ou des groupes de créateurs et de propriétaires de comptes d’ordinateur approuvés à l’autorisation Autoriser . (Comme meilleure pratique, nous vous recommandons vivement d’utiliser des groupes pour les autorisations.) N’ajoutez pas le compte d’utilisateur qui effectue la jonction de domaine.

   Avertissement : Limitez l’appartenance à la stratégie aux utilisateurs approuvés et aux comptes de service. N’ajoutez pas d’utilisateurs authentifiés, de tout le monde ou d’autres grands groupes à cette stratégie. Au lieu de cela, ajoutez des utilisateurs approuvés et des comptes de service spécifiques à des groupes, puis ajoutez ces groupes à la stratégie.

6. Attendez l’intervalle d’actualisation stratégie de groupe ou exécutez gpupdate /force sur tous les contrôleurs de domaine.

7. Vérifiez que la clé de Registre HKLM\System\CCS\Control\SAM – « ComputerAccountReuseAllowList » est remplie avec le SDDL souhaité. Ne modifiez pas manuellement le Registre.

8. Essayez de joindre un ordinateur sur lequel les mises à jour du 12 septembre 2023 ou ultérieures sont installées. Vérifiez que l’un des comptes répertoriés dans la stratégie est propriétaire du compte d’ordinateur. Vérifiez également que la clé NetJoinLegacyAccountReuse de son registre n’est pas activée (définie sur 1). Si la jointure de domaine échoue, case activée c :\windows\debug\netsetup.log.

Si vous avez toujours besoin d’une autre solution de contournement, passez en revue les flux de travail d’approvisionnement de compte d’ordinateur et déterminez si des modifications sont nécessaires. 

1. Effectuez l’opération de jointure à l’aide du même compte que celui qui a créé le compte d’ordinateur dans le domaine cible.

2. Si le compte existant est obsolète (inutilisé), supprimez-le avant de réessayer de joindre le domaine.

3. Renommez l’ordinateur et joignez-vous à l’aide d’un autre compte qui n’existe pas déjà.

4. Si le compte existant appartient à un principal de sécurité approuvé et qu’un administrateur souhaite réutiliser le compte, suivez les instructions de la section Prendre des mesures pour installer les mises à jour Windows de septembre 2023 ou ultérieures et configurer une liste verte.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Problèmes connus

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac