הערה
עודכן ב-13/08/2024; ראה אופן הפעולה של 13 באוגוסט 2024
סיכום
עדכוני Windows שהופצו ב- 11 באוקטובר 2022 ואילך, מכילים הגנות נוספות שהוצגו על-ידי CVE-2022-38042. הגנות אלה מונעות במכוון מפעולות של הצטרפות לתחום לעשות שימוש חוזר בחשבון מחשב קיים בתחום היעד, אלא אם:
- המשתמש שמנסה לבצע את הפעולה הוא היוצר של החשבון הקיים, או
- המחשב נוצר על-ידי חבר במנהלי תחום, או
- הבעלים של חשבון המחשב שבו נעשה שימוש חוזר הוא חבר במערכת "בקר תחום: אפשר שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום". הגדרת מדיניות קבוצתית. הגדרה זו מחייבת התקנה של עדכוני Windows שהופצו ב- 14 במרץ 2023 או לאחר מכן, בכל המחשבים ובקרי התחומים החברים.
עדכונים שהופצו ב- 14 במרץ 2023 וב- 12 בספטמבר 2023 ואילך, יספקו אפשרויות נוספות עבור לקוחות מושפעים ב- Windows Server 2012 R2 ואילך ובכל הלקוחות הנתמכים. לקבלת מידע נוסף, עיין בסעיפים אופן הפעולה של 11 באוקטובר 2022ונקיטת פעולה .
הערה
מאמר זה התייחס בעבר למפתח רישום NetJoinLegacyAccountReuse . החל מ- 13 באוגוסט 2024, מפתח רישום זה וההפניות שלו במאמר זה הוסרו.
לפני 11 באוקטובר. 2022
לפני שתתקין את העדכונים המצטברים של 11 באוקטובר 2022 ואילך, מחשב הלקוח מבצע שאילתות של Active Directory עבור חשבון קיים באותו שם. שאילתה זו מתרחשת במהלך צירוף תחום והקצאת חשבונות מחשב. אם קיים חשבון כזה, הלקוח ינסה לעשות בו שימוש חוזר באופן אוטומטי.
הערה
ניסיון השימוש החוזר לא יפעל אם למשתמש המנסה לבצע את פעולת ההצטרפות לתחום אין הרשאות כתיבה מתאימות. עם זאת, אם למשתמש יש מספיק הרשאות, ההצטרפות לתחום תצליח.
להלן שני תרחישים של צירוף לתחום עם אופני פעולה ודגלים המוגדרים כברירת מחדל בהתאמה:
הצטרפות לתחום (NetJoinDomain)
- ברירת המחדל לשימוש חוזר בחשבון (אלא אם כן צוין דגל NETSETUP_NO_ACCT_REUSE )
Account provisioning (NetProvisionComputerAccountNetCreateProvisioningPackage).
- ברירת המחדל היא ללא שימוש חוזר (אלא אם צוין NETSETUP_PROVISION_REUSE_ACCOUNT ).
אופן הפעולה ב- 11 באוקטובר 2022
לאחר שתתקין את העדכונים המצטברים של Windows ב- 11 באוקטובר 2022 ואילך במחשב לקוח, במהלך הצטרפות לתחום, הלקוח יבצע בדיקות אבטחה נוספות לפני שינסה לעשות שימוש חוזר בחשבון מחשב קיים. אלגוריתם:
- ניסיון שימוש חוזר בחשבון יהיה מותר אם המשתמש שמנסה לבצע את הפעולה הוא היוצר של החשבון הקיים.
- ניסיון שימוש חוזר בחשבון יהיה מותר אם החשבון נוצר על-ידי חבר במנהלי תחומים.
בדיקות אבטחה נוספות אלה מתבצעות לפני הניסיון להצטרף למחשב. אם הבדיקות מסתיימות בהצלחה, שאר פעולת הצירוף כפופה להרשאות Active Directory כמו בעבר.
שינוי זה אינו משפיע על חשבונות חדשים.
הערה
- לאחר התקנת העדכונים המצטברים של Windows מ- 11 באוקטובר 2022 ואילך, הצטרפות לתחום עם שימוש חוזר בחשבון מחשב עשויה להפסיק לעבוד במכוון עם השגיאה הבאה:
- שגיאה 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "קיים חשבון באותו שם ב- Active Directory. שימוש חוזר בחשבון נחסם על-ידי מדיניות האבטחה."
- אם כן, החשבון מוגן במכוון על-ידי אופן הפעולה החדש.
- מזהה אירוע 4101 יופעל ברגע שהשגיאה לעיל תתרחש והבעיה תירשם בנתיב c:\windows\debug\netsetup.log. בצע את השלבים הבאים בנקיטת פעולה כדי להבין את הכשל ולפתור את הבעיה.
אופן הפעולה של 14 במרץ 2023
בעדכוני Windows שהופצו ב- 14 במרץ 2023 או לאחר מכן, ביצענו כמה שינויים בהקשחת האבטחה. שינויים אלה כוללים את כל השינויים שביצענו ב- 11 באוקטובר 2022.
ראשית, הרחבנו את היקף הקבוצות הפטורות מהקשחה זו. בנוסף למנהלי תחומים, מנהלי ארגונים וקבוצות של מנהלי מערכת מוכללים פטורים כעת מבדיקת הבעלות.
שנית, יישמנו הגדרת מדיניות קבוצתית חדשה. מנהלי מערכת יכולים להשתמש בה כדי לציין רשימת היתרים של בעלי חשבונות מחשב מהימנים. חשבון המחשב יעקוף את בדיקת האבטחה אם מתקיים אחד מהתנאים הבאים:
החשבון נמצא בבעלותו של משתמש שצוין כבעלים מהימן ב- "בקר תחום: אפשר שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום" מדיניות קבוצתית.
החשבון נמצא בבעלות משתמש החבר בקבוצה שצוינה כבעלים מהימן ב- "בקר תחום: אפשר שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום" מדיניות קבוצתית.
כדי להשתמש מדיניות קבוצתית חדשה זו, בקר התחום והמחשב החבר חייבים להיות מותקנים באופן עקבי העדכון של 14 במרץ 2023 ואילך. ייתכן שלחלקכם יש חשבונות מסוימים המשמשים ליצירה אוטומטית של חשבונות מחשב. אם חשבונות אלה מוגנים מפני שימוש לרעה ואתה בוטח בהם שייצרו חשבונות מחשב, באפשרותך לפטור אותם. עדיין תהיה מאובטח מפני הפגיעות המקורית שהופחתה על-ידי עדכוני Windows של 11 באוקטובר 2022.
אופן הפעולה ב- 12 בספטמבר 2023
בעדכוני Windows שהופצו ב- 12 בספטמבר 2023 או לאחר מכן, ביצענו כמה שינויים נוספים בהקשחת האבטחה. שינויים אלה כוללים את כל השינויים שביצענו ב- 11 באוקטובר 2022 ואת השינויים מ- 14 במרץ 2023.
טיפלנו בבעיה שבה הצטרפות לתחום באמצעות אימות כרטיס חכם נכשלה ללא קשר להגדרת המדיניות. כדי לפתור בעיה זו, העברנו את בדיקות האבטחה הנותרות בחזרה לבקר התחום. לכן, בעקבות עדכון האבטחה של ספטמבר 2023, מחשבי לקוח מבצעים קריאות SAMRPC מאומתות לבקר התחום כדי לבצע בדיקות אימות אבטחה הקשורות לשימוש חוזר בחשבונות מחשב.
עם זאת, הדבר עלול לגרום לכשל בהצטרפות לתחום בסביבות שבהן מוגדרת המדיניות הבאה: גישה לרשת: הגבל לקוחות שמורשים לבצע שיחות מרחוק ל- SAM. עיין בסעיף 'בעיות ידועות' לקבלת מידע אודות הדרך לפתור בעיה זו.
אופן הפעולה של 13 באוגוסט 2024
בעדכוני Windows שהופצו ב- 13 באוגוסט 2024 או לאחר מכן, טיפלנו בכל בעיות התאימות הידועות במדיניות רשימת ההיתרים. בנוסף, הסרנו את התמיכה במפתח NetJoinLegacyAccountReuse. אופן הפעולה של ההקשחה יימשך ללא קשר להגדרת המקש. השיטות המתאימות להוספת פטורים מפורטות בסעיף נקיטת פעולה להלן.
נקוט פעולה
קבע את התצורה של מדיניות רשימת ההיתרים החדשה באמצעות מדיניות קבוצתית בבקר תחום והסר פתרונות עקיפים מדור קודם בצד הלקוח. לאחר מכן בצע את הפעולות הבאות:
עליך להתקין את העדכונים של 12 בספטמבר 2023 ואילך בכל המחשבים ובקרי התחומים החברים.
במדיניות קבוצתית חדשה או קיימת שחלה על כל בקרי התחומים, קבע את תצורת ההגדרות בשלבים הבאים.
תחת Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options (אפשרויות אבטחה), לחץ פעמיים על 'בקר תחום': אפשר שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום.
בחר 'הגדר הגדרת מדיניות זו' ו'ערוך <אבטחה...>'.
השתמש בבורר האובייקטים כדי להוסיף משתמשים או קבוצות של יוצרים ובעלים של חשבונות מחשב מהימנים להרשאת 'אפשר '. (כשיטת עבודה מומלצת, מומלץ מאוד להשתמש בקבוצות לקבלת הרשאות.) אל תוסיף את חשבון המשתמש שמבצע את ההצטרפות לתחום.
אזהרה
הגבלת החברות במדיניות למשתמשים מהימנים ולחשבונות שירות. אל תוסיף משתמשים מאומתים, כולם או קבוצות גדולות אחרות למדיניות זו. במקום זאת, הוסף לקבוצות משתמשים מהימנים וחשבונות שירות ספציפיים והוסף קבוצות אלה למדיניות.
המתן למרווח הזמן לרענון מדיניות קבוצתית או הפעל את gpupdate/force בכל בקרי התחומים.
ודא שמפתח הרישום HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" מאוכלס ב- SDDL הרצוי. אל תערוך את הרישום באופן ידני.
נסה להצטרף למחשב שבו מותקנים העדכונים של 12 בספטמבר 2023 ואילך. ודא שחשבון המחשב נמצא בבעלותו של אחד החשבונות המפורטים במדיניות. אם ההצטרפות לתחום נכשלת, בדוק את \netsetup.log c:\windows\debug.
אם אתה עדיין זקוק לפתרון חלופי, בדוק את זרימות העבודה של הקצאת חשבונות מחשב והבן אם נדרשים שינויים.
- בצע את פעולת הצירוף באמצעות אותו חשבון שיצר את חשבון המחשב בתחום היעד.
- אם החשבון הקיים מיושן (לא נמצא בשימוש), מחק אותו לפני שתנסה שוב להצטרף לתחום.
- שנה את שם המחשב והצטרף באמצעות חשבון אחר שאינו קיים כבר.
- אם החשבון הקיים נמצא בבעלות מנהל אבטחה מהימן ומנהל המערכת מעוניין לעשות שימוש חוזר בחשבון, בצע את ההנחיות במקטע נקיטת פעולה כדי להתקין את עדכוני Windows מספטמבר 2023 ואילך ולקבוע תצורה של רשימת היתרים.
לא פתרונות
- אל תוסיף חשבונות שירות או חשבונות הקצאת משאבים לקבוצת האבטחה 'מנהלי תחומים'.
- אל תערוך באופן ידני את מתאר האבטחה בחשבונות מחשב בניסיון להגדיר מחדש את הבעלות על חשבונות אלה, אלא אם חשבון הבעלים הקודם נמחק. בעוד שעריכה של הבעלים תאפשר את הצלחת הבדיקות החדשות, חשבון המחשב עשוי לשמור על אותן הרשאות לא רצויות שעלולות להיות מסוכנות עבור הבעלים המקורי, אלא אם כן נבדק והוסר באופן מפורש.
יומני אירועים חדשים
| יומן אירועים | מערכת |
|---|---|
| מקור האירוע | Netjoin |
| מזהה האירוע | 4100 |
| סוגי אירוע | מידע |
| טקסט האירוע | "במהלך הצטרפות לתחום, בקר התחום שיצר איתו קשר מצא חשבון מחשב קיים ב- Active Directory עם אותו שם. הותר ניסיון לעשות שימוש חוזר בחשבון זה. חיפוש בבקר תחום: <שם>בקר תחום חשבון מחשב קיים DN: <נתיב DN של חשבון> מחשב. ראה https://go.microsoft.com/fwlink/?linkid=2202145 לקבלת מידע נוסף. |
| יומן אירועים | מערכת |
|---|---|
| מקור האירוע | Netjoin |
| מזהה האירוע | 4101 |
| סוגי אירוע | שגיאה |
| טקסט האירוע | במהלך הצטרפות לתחום, בקר התחום שיצרת איתו קשר מצא חשבון מחשב קיים ב- Active Directory בעל אותו שם. ניסיון לעשות שימוש חוזר בחשבון זה נמנע מטעמי אבטחה. חיפוש בבקר תחום: חשבון מחשב קיים DN: קוד השגיאה היה <קוד> שגיאה. ראה https://go.microsoft.com/fwlink/?linkid=2202145 לקבלת מידע נוסף. |
רישום איתור באגים זמין כברירת מחדל (אין צורך להפוך רישום מילולי לזמין) ב- C:\Windows\Debug\netsetup.log בכל מחשבי הלקוח.
דוגמה לרישום איתור באגים שנוצר כאשר נמנע שימוש חוזר בחשבון מטעמי אבטחה:
NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac
אירועים חדשים נוספו במרץ 2023
עדכון זה מוסיף ארבעה (4) אירועים חדשים ביומן המערכת בבקר התחום כדלקמן:
| רמת אירוע | מידע |
|---|---|
| מזהה האירוע | 16995 |
| יומן רישום | מערכת |
| מקור האירוע | Directory-Services-SAM |
| טקסט האירוע | מנהל חשבונות האבטחה משתמש במתאר האבטחה שצוין לצורך אימות ניסיונות שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום. ערך SDDL: <מחרוזת SDDL> רשימת היתרים זו מוגדרת באמצעות מדיניות קבוצתית ב- Active Directory. לקבלת מידע נוסף, ראה http://go.microsoft.com/fwlink/?LinkId=2202145. |
| רמת אירוע | שגיאה |
|---|---|
| מזהה האירוע | 16996 |
| יומן רישום | מערכת |
| מקור האירוע | Directory-Services-SAM |
| טקסט האירוע | מתאר האבטחה המכיל את רשימת ההיתרים לשימוש חוזר בחשבון המחשב המשמשת לאימות בקשות לקוח הצטרפות לתחום פגום. ערך SDDL: <מחרוזת SDDL> רשימת היתרים זו מוגדרת באמצעות מדיניות קבוצתית ב- Active Directory. כדי לפתור בעיה זו, מנהל מערכת יצטרך לעדכן את המדיניות כדי להגדיר ערך זה כמתאר אבטחה חוקי או להפוך אותו ללא זמין. לקבלת מידע נוסף, ראה http://go.microsoft.com/fwlink/?LinkId=2202145. |
| רמת אירוע | שגיאה |
|---|---|
| מזהה האירוע | 16997 |
| יומן רישום | מערכת |
| מקור האירוע | Directory-Services-SAM |
| טקסט האירוע | מנהל חשבונות האבטחה מצא חשבון מחשב שנראה יתום ושאין לו בעלים קיים. חשבון מחשב: S-1-5-xxx בעל חשבון מחשב: S-1-5-xxx לקבלת מידע נוסף, ראה http://go.microsoft.com/fwlink/?LinkId=2202145. |
| רמת אירוע | אזהרה |
|---|---|
| מזהה האירוע | 16998 |
| יומן רישום | מערכת |
| מקור האירוע | Directory-Services-SAM |
| טקסט האירוע | מנהל חשבון האבטחה דחה בקשת לקוח לעשות שימוש חוזר בחשבון מחשב במהלך הצטרפות לתחום. חשבון המחשב וזהות הלקוח לא עמדו בבדיקות אימות האבטחה. חשבון לקוח: S-1-5-xxx חשבון מחשב: S-1-5-xxx בעל חשבון מחשב: S-1-5-xxx בדוק את נתוני הרשומה של אירוע זה עבור קוד השגיאה NT. לקבלת מידע נוסף, ראה http://go.microsoft.com/fwlink/?LinkId=2202145. |
במידת הצורך, netsetup.log יכול לספק מידע נוסף.
בעיות ידועות
| בעיה | תיאור |
|---|---|
| בעיה 1 | לאחר התקנת העדכונים של 12 בספטמבר 2023 ואילך, הצטרפות לתחום עלולה להיכשל בסביבות שבהן מוגדרת המדיניות הבאה: גישה לרשת - הגבלת לקוחות שמורשים לבצע שיחות מרוחקות ל- SAM - אבטחת Windows | Microsoft Learn. הסיבה לכך היא שמחשבי לקוח מבצעים כעת קריאות SAMRPC מאומתות לבקר התחום כדי לבצע בדיקות אימות אבטחה הקשורות לשימוש חוזר בחשבונות מחשב. זה צפוי. כדי להתאים לשינוי זה, על מנהלי מערכת לשמור את מדיניות SAMRPC של בקר התחום בהגדרות ברירת המחדל או לכלול באופן מפורש את קבוצת המשתמשים המבצעת את ההצטרפות לתחום בהגדרות SDDL כדי להעניק להם הרשאה. **דוגמה מ netsetup.log שבה בעיה זו התרחשה:**18/09/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5 18/09/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttry: החזרת תוצאה: FALSE 18/09/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: בדיקת מדיניות של Active Directory עם SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 מוחזר NetStatus:0x5. 09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0 18/09/2023 13:37:15:379 NetpModifyComputerObjectInDs: החשבון קיים והשימוש החוזר נחסם על-ידי מדיניות. שגיאה: 0xaac 18/09/2023 13:37:15:379 NetpProvisionComputerAccount: יצירת LDAP נכשלה: 0xaac |
| בעיה 2 | אם החשבון של בעלי המחשב נמחק, ומתרחש ניסיון לעשות שימוש חוזר בחשבון המחשב, אירוע 16997 יירשם ביומן האירועים של המערכת. במקרה זה, אין אפשרות להקצות מחדש בעלות לחשבון או לקבוצה אחרים. |
| בעיה 3 | אם רק ללקוח יש את העדכון של 14 במרץ 2023 ואילך, בדיקת המדיניות של Active Directory תחזיר 0x32 STATUS_NOT_SUPPORTED. בדיקות קודמות שיושמו בתיקונים החמים של נובמבר יחולו כפי שמוצג להלן:NetpDsValidateComputerAccountReuseAttry: returning NtStatus: c00000bb, NetStatus: 32 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32. NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0 NetpModifyComputerObjectInDs: החשבון קיים והשימוש החוזר נחסם על-ידי מדיניות. שגיאה: 0xaac NetpProvisionComputerAccount: יצירת LDAP נכשלה: 0xaac |
| בעיה 4 | לאחר העדכון של 13 באוגוסט 2024, עליך לציין את שם ה- FQDN של ה- DNS של בקר התחום בעת מיקוד ל- DC ספציפי. קיימת בעיה ידועה שבה רק תבנית השם של בקר התחום של FQDN DNS תפעל. זה ייראה כאילו תצורת ההצטרפות מחדש לתחום לא הוגדרה כראוי. NetSetup.Log ב- NetSetup.Log יש לך את הרכיבים הבאים: NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 return NetStatus:0x5. NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0 NetpModifyComputerObjectInDs: החשבון קיים והשימוש החוזר נחסם על-ידי מדיניות. שגיאה: 0xaacמעקב רשת במעקב רשת, תראה ניסיון להיכנס ל- DC ב- SMB עם האישורים של המשתמש המקומי: בקשת הגדרת הפעלת SMB2, NTLMSSP_AUTH, משתמש: Member12\SuperUser תגובת הגדרת הפעלה של SMB2, שגיאה: STATUS_LOGON_FAILUREIn מעקב הרשת, ייתכן שתמצא הפעלה שנוצרה בהצלחה עם כרטיס Kerberos באמצעות שם המחשב הקצר מדור קודם. שגיאה מהצטרפות ל- Netdom ניסיון שינוי שם המחשב נכשל עם שגיאה 2732. חשבון באותו שם קיים ב- Active Directory. שימוש חוזר בחשבון נחסם על-ידי מדיניות האבטחה. שגיאה מ- Add-Computer ביצוע הפעולה "הצטרף בתחום 'contoso.com\DC1'" ביעד "Member12". הוספת מחשב: המחשב 'Member12' לא הצליח להצטרף לתחום 'contoso.com\DC1' מקבוצת העבודה הנוכחית שלו 'WORKGROUP' עם הודעת השגיאה הבאה: חשבון בשם זה קיים ב- Active Directory. שימוש חוזר בחשבון נחסם על-ידי מדיניות האבטחה. פתרון הפתרון הוא להשתמש תמיד ב- FQDN של DNS: Netdom: /d:contoso.com\DC1.contoso.comהוספת מחשב: -Server 'DC1.contoso.com' |